搜索

[9689] 2015-12-28_OLEOutlook利用：一封邮件绕过所有企业安全防控

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2015-12-28_OLEOutlook利用：一封邮件绕过所有企业安全防控 O L E O u t l o o k 利 用 ： 一 封 邮 件 绕 过 所 有 企 业 安 全 防 控 鸢 尾   F r e e B u f   2 0 1 5 - 1 2 - 2 8 在 本 文 中 ， 我 会 向 大 家 展 示 如 何 通 过 在 本 文 中 ， 我 会 向 大 家 展 示 如 何 通 过 E m a i l 将 一 个 可 执 行 文 件 嵌 入 到 公 司 网 络 。 伪 装 成 一 份 将 一 个 可 执 行 文 件 嵌 入 到 公 司 网 络 。 伪 装 成 一 份 W o r d 文 档 ， 绕 过 防 火 文 档 ， 绕 过 防 火 墙 ， 目 前 该 问 题 还 没 有 任 何 补 丁 发 布 ！ 墙 ， 目 前 该 问 题 还 没 有 任 何 补 丁 发 布 ！ 今 天 早 些 时 候 ， 我 写 O L E   P a c k a g e 还 是 p a c k a g e r . d l l 的 时 候 ， 一 个 W i n d o w s 特 性 回 溯 到 W i n d o w s   3 . 1 ， 在 之 后 的 W i n d o w s 版 本 中 也 存 在 ， 它 允 许 在 文 档 中 嵌 入 任 何 内 容 ！ 当 时 我 就 强 调 ， 你 可 以 将 恶 意 内 容 放 到 W o r d 文 档 ， 再 转 换 成 富 文 本 格 式 来 绕 过 大 多 数 企 业 邮 件 过 滤 系 统 。 M i c r o s o f t   O u t l o o k . 没 错 ， M i c r o s o f t   O u t l o o k 从 2 0 0 3 版 本 起 就 开 始 支 持 O L E   P a c k a g e 。 默 认 情 况 下 O u t l o o k ， 通 过 E m a i l 接 收 的 O L E   P a c k a g e 是 不 允 许 打 开 可 执 行 代 码 的 。 你 无 法 点 击 图 标 。 这 项 策 略 非 常 伟 大 ！ 但 是 ， 如 果 你 将 该 邮 件 保 存 为 . m s g 文 件 ， 然 后 将 其 作 为 邮 件 的 附 件 ， 用 户 就 可 以 打 开 这 个 包 了 ！ 到 目 前 为 止 我 尝 试 了 所 有 魔 力 象 限 ( M a g i c   Q u a d r a n t ) 所 列 举 的 邮 件 过 滤 解 决 方 案 ， 没 有 一 款 能 够 检 测 到 其 中 内 容 。 编 译 编 译 P a c k a g e 你 需 要 ： M i c r o s o f t   O u t l o o k   2 0 0 3 之 后 版 本 ,   包 括   O u t l o o k   2 0 1 6 。
你 需 要 打 开 一 个 新 的 电 子 邮 件 ， 最 大 化 窗 口 ， 之 后 单 击 插 入   - >   对 象   - >   向 下 滚 动 找 到 P a c k a g e 。 然 后 选 择 你 想 要 嵌 入 的 内 容 ， 这 里 我 们 以 W i n d o w s 计 算 器 为 例 ： 现 在 单 击 文 件   - >   另 存 为 ， 给 它 取 一 个 名 称 ， 例 如 t e s t i n g . m s g 。 然 后 新 建 一 个 邮 件 ， 告 诉 用 户 记 得 查 看 附 件 ， 将 t e s t i n g . m s g 作 为 附 件 增 加 到 邮 件 中 ， 并 发 送 给 公 司 的 员 工 。 用 户 接 收 到 邮 件 ， 如 果 他 打 开 t e s t i n g . m s g 文 件 ， 就 会 打 开 可 执 行 文 件 ， 以 及 你 在 其 中 写 下 的 提 示 ！ 没 事 ， 我 们 的 防 御 系 统 能 够 阻 止 没 事 ， 我 们 的 防 御 系 统 能 够 阻 止 这 个 脸 是 打 的 不 要 不 要 的 ， 例 如 交 换 层 保 护 装 置 守 护 使 ( S O P H O S ) ， 纯 消 息 策 略 就 无 法 应 用 到 O L E   P a c k a g e s 中 ， 如 果 你 过 滤 掉 . e x e 文 件 ， 他 也 只 能 眼 睁 睁 的 看 着 你 从 眼 前 飘 过 ！ O u t l o o k 自 身 对 于 O L E   P a c k a g e s 也 会 忽 略 危 险 文 件 类 型 ， 并 故 作 从 容 的 允 许 它 轻 松 的 打 开 。
更 糟 糕 的 是 O u t l o o k . e x e 作 为 中 等 完 整 性 运 行 ， 并 生 成 可 执 行 文 件 ( 或 批 处 理 文 件 ， 或 者 其 他 你 嵌 入 的 内 容 ) 都 是 中 等 完 整 性 ， 所 以 你 就 跳 出 了 O u t l o o k 以 及 W i n d o w s 的 沙 盒 的 保 护 。 做 事 要 有 始 有 终 做 事 要 有 始 有 终 接 下 来 便 是 用 一 个 警 告 标 志 来 替 换 c a l c . e x e 。 在 O u t l o o k 中 你 无 法 点 击 “ 作 为 图 标 显 示 ” 复 选 框 ， 这 就 需 要 你 改 变 图 标 和 描 述 了 . . . 除 了 O u t l o o k   2 0 1 3 ， 你 可 以 转 换 H T M L 消 息 格 式 转 换 为 富 文 本 格 式 ， 然 后 返 回 插 入   - >   P a c k a g e 勾 选 “ 显 示 为 图 标 ” 选 项 ， 然 后 选 择 一 个 新 的 图 标 — —   W i n w o r d . e x e 和 E x c e l . e x e 都 是 很 好 的 选 择 ， 之 后 在 下 面 窗 口 重 命 名 附 件 ， 例 如 i n v o i c e . d o c x 。
然 后 将 消 息 类 型 换 回 H T M L ( 重 要 ) ， 然 后 保 存 邮 件 ： 在 上 面 的 例 子 中 ， 通 过 安 全 提 醒 盲 目 的 你 打 开 了 I n v o i c e . d o c x ， 之 后 弹 出 了 F i r e f o x 安 装 程 序 保 护 保 护 3 个 途 径 ： 个 途 径 ： 其 一 便 是 应 用 白 名 单 ， 然 而 对 于 嵌 入 的 签 名 的 带 参 数 可 执 行 文 件 要 非 常 小 心 了 。 例 如 许 多 微 软 数 字 签 名 工 具 就 可 以 拿 来 作 为 其 他 内 容 的 跳 板 ， 由 于 是 微 软 的 签 名 ， 可 能 你 现 在 对 那 些 签 名 是 信 认 的 不 能 再 信 任 了 。 其 二 为 你 的 O f f i c e 版 本 部 署 注 册 表 S h o w O L E P a c k a g e O b j 键 值 ， 默 默 的 禁 止 O u t l o o k 中 的 O L E   P a c k a g e 函 数 。 这 里 没 有 更 全 面 的 禁 用 方 法 ， 然 而 攻 击 者 依 旧 可 以 在 W o r d ,   E x c e l 以 及 P o w e r P o i n t 中 嵌 入 恶 意 内 容 。
其 三 是 E M E T ， 如 果 你 运 行 M i c r o s o f t   E M E T ( 或 者 像 P a l o - A l t o   T R A P S 的 类 似 产 品 ) ， 可 以 为 O u t l o o k . e x e 增 加 以 下 规 则 ： < M i t i g a t i o n   N a m e = " A S R "   E n a b l e d = " t r u e " > < a s r _ m o d u l e s > p a c k a g e r . d l l < / a s r _ m o d u l e s > < / M i t i g a t i o n > 通 过 阻 止 p a c k a g e r . d l l ， 你 是 可 以 粗 暴 的 解 决 该 问 题 ！ 总 结 总 结 该 问 题 需 要 M i c r o s o f t 好 生 去 整 理 ， 这 里 没 有 办 法 阻 止 用 户 跳 出 沙 盒 保 护 或 者 控 制 ， 点 击 一 个 用 W o r d 图 标 伪 装 的 I n v o i c e . d o c x 文 件 ， 之 后 生 成 未 知 的 代 码 。 * 参 考 来 源 ： K e v i n   B e a u m o n t ， 编 译 / F B 小 编 鸢 尾 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理