搜索

[11250] 2017-04-18_OFFICEOLE2LINK(CVE-2017-0199)漏洞利用详解

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2017-04-18_OFFICEOLE2LINK(CVE-2017-0199)漏洞利用详解 O F F I C E   O L E 2 L I N K ( C V E - 2 0 1 7 - 0 1 9 9 ) 漏 洞 利 用 详 解 天 择   F r e e B u f   2 0 1 7 - 0 4 - 1 8 漏 洞 概 述 漏 洞 概 述 F i r e E y e 最 近 公 布 了 一 个 O F F I C E   0 d a y ， 在 无 需 用 户 交 互 的 情 况 下 ， 打 开 w o r d 文 档 就 可 以 通 过 h t a 脚 本 执 行 任 意 代 码 。 经 过 研 究 发 现 ， 此 漏 洞 的 成 因 主 要 是 w o r d 在 处 理 内 嵌 O L E 2 L I N K 对 象 时 ， 通 过 网 络 更 新 对 象 时 没 有 正 确 处 理 的 C o n t e n t - T y p e 所 导 致 的 一 个 逻 辑 漏 洞 。 漏 洞 利 用 方 法 漏 洞 利 用 方 法 首 先 准 备 一 台 a p a c h e 服 务 器 ， w e b 根 目 录 下 保 存 一 个 1 . r t f 文 件 ， 内 容 如 下 ： 确 保 a p a c h e 配 置 文 件 c o n f / m i m e . t y p e s 里 面 有 r t f 的 c o n t e n t   t y p e 项 ： a p p l i c a t i o n / r t f                                   r t f 用 w o r d 生 成 一 个 空 白 文 档 ， 然 后 在 其 中 插 入 一 个 对 象 。   选 择 由 文 件 创 建 ， 输 入 w e b 服 务 器 上 1 . r t f 的 U R L ， 一 定 要 选 上 “ 链 接 到 文 件 ” ：  
这 时 候 会 生 成 一 个 有 t e s t 7 8 9 文 字 内 嵌 对 象 的 文 档 ， 这 是 双 击 该 对 象 只 能 以 r t f 文 件 方 式 打 开 对 象 ， 并 不 能 执 行 h t a 脚 本 。 因 为 生 成 对 象 的 时 候 选 中 “ 链 接 到 文 件 ” ， 所 以 当 打 开 对 象 的 时 候 会 去 服 务 器 上 请 求 h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 8 / 1 . r t f 来 更 新 对 象 内 容 。   此 时 在 a p a c h e 配 置 文 件 c o n f / m i m e . t y p e s 中 把 a p p l i c a t i o n / r t f                                   r t f 修 改 成 ： a p p l i c a t i o n / h t a                                   r t f 重 启 a p a c h e 后 ， 清 除 I E 缓 存 ：  
再 双 击 对 象 ， 此 时 虽 然 访 问 的 还 是 1 . r t f 文 件 ， 但 是 服 务 器 的 C o n t e n t - t y p e 会 返 回 a p p l i c a t i o n / h t a ， 而 w o r d 就 以 h t a 脚 本 的 方 式 打 开 文 件 ：   这 样 的 p o c 还 是 需 要 用 户 双 击 对 象 进 行 交 互 的 ， 那 么 怎 么 样 才 能 自 动 运 行 对 象 呢 ？ 这 里 就 需 要 把 文 件 保 存 成 r t f 格 式 ：
用 文 本 编 辑 器 打 开 刚 保 存 的 r t f 文 件 ， 找 到 o b j e c t 标 签 所 在 的 地 方 ：   把 { o b j e c t o b j a u t l i n k r s l t p i c t 修 改 成 ： { o b j e c t o b j a u t l i n k o b j u p d a t e r s l t p i c t 保 存 文 件 再 重 新 打 开 。 此 时 无 需 用 户 交 互 就 可 直 接 运 行 h t a 脚 本 弹 出 计 算 器 ：  
关 键 点 在 于 o b j u p d a t e ， 这 个 标 签 的 作 用 是 可 以 自 动 更 新 对 象 ， 因 此 无 需 用 户 交 互 。 此 时 已 经 可 以 达 到 通 过 h t a 脚 本 执 行 任 意 代 码 的 目 的 ， 至 于 h t a 脚 本 就 是 八 仙 过 海 各 显 神 通 了 。 修 复 方 案 修 复 方 案 下 载 微 软 紧 急 更 新 补 丁 ：   h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / e n - u s / h e l p / 4 0 1 4 7 9 3 / t i t l e * 本 文 作 者 ： 天 择 实 习 生 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理