搜索

[11313] 2017-05-05_利用OutlookForms绕过VB宏，获取目标Shell

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-05_利用OutlookForms绕过VB宏，获取目标Shell 利 用 O u t l o o k   F o r m s 绕 过 V B 宏 ， 获 取 目 标 S h e l l s u n l e y i n g   F r e e B u f   2 0 1 7 - 0 5 - 0 5 利 用 宏 规 则 散 布 恶 意 程 序 已 成 为 众 所 周 知 的 途 径 ， 因 此 许 多 人 都 通 过 禁 用 宏 规 来 保 护 信 息 安 全 。 但 如 今 ， 利 用 宏 规 则 散 布 恶 意 程 序 已 成 为 众 所 周 知 的 途 径 ， 因 此 许 多 人 都 通 过 禁 用 宏 规 来 保 护 信 息 安 全 。 但 如 今 ， “ 宏 宏 ” 似 乎 变 成 了 似 乎 变 成 了 一 个 可 以 绕 过 的 障 碍 。 此 前 的 一 个 可 以 绕 过 的 障 碍 。 此 前 的 W o r d   0 - d a y 漏 洞 就 无 需 启 用 宏 ， 只 需 打 开 文 档 便 可 植 入 恶 意 程 序 。 而 此 次 ， 漏 洞 就 无 需 启 用 宏 ， 只 需 打 开 文 档 便 可 植 入 恶 意 程 序 。 而 此 次 ， S e n s e p o s t 发 现 了 发 现 了 一 种 利 用 一 种 利 用 O u t l o o k   F o r m s ， 成 功 绕 过 宏 规 则 ， 获 取 目 标 ， 成 功 绕 过 宏 规 则 ， 获 取 目 标 s h e l l 的 方 法 ， 有 可 能 被 攻 击 者 恶 意 利 用 。 但 微 软 似 乎 并 不 认 为 这 是 一 的 方 法 ， 有 可 能 被 攻 击 者 恶 意 利 用 。 但 微 软 似 乎 并 不 认 为 这 是 一 个 程 序 漏 洞 。 个 程 序 漏 洞 。 O u t l o o k   F o r m s 缘 何 得 以 缘 何 得 以 “ 重 用 重 用 ” ？ ？ 一 批 白 帽 子 研 究 人 员 另 辟 蹊 径 ， 找 到 了 一 种 新 的 方 法 — — 利 用 O u t l o o k   F o r m s 绕 过 宏 规 则 ， 获 取 受 害 者 的 s h e l l 。 S e n s e p o s t 表 示 微 软 在 2 0 1 6 版 的 O u t l o o k 中 修 补 了 一 些 原 有 的 漏 洞 ， 因 此 他 们 自 己 开 发 的 “ R u l e r ” 工 具 已 经 无 法 发 动 攻 击 。 同 时 ， 越 来 越 多 的 机 构 都 开 始 ” 禁 用 宏 “ ， 因 此 S e n s e p o s t 试 图 寻 找 其 他 的 攻 击 方 式 。 但 来 自 S e n s e p o s t 的 E t i e n n e   S t a l m a n s 还 是 发 现 了 O u t l o o k 一 些 有 趣 的 功 能 ， 其 中 就 包 括 O u t l o o k   F o r m s 。 O u t l o o k   F o r m s 可 以 运 行 V B 脚 本 内 容 ， 与 此 同 时 ， 表 单 的 脚 本 引 擎 与 V M   宏 的 脚 本 引 擎 是 相 互 分 离 的 ， 这 就 意 味 着 ， 攻 击 者 可 以 在 不 启 用 宏 的 情 况 下 发 动 攻 击 。 如 何 利 用 如 何 利 用 O u t l o o k   F o r m s   获 取 用 户 获 取 用 户 s h e l l ？ ？ O u t l o o k   F o r m s 的 说 明 文 档 还 是 2 0 0 8 年 编 写 的 — — 因 此 很 明 显 表 单 功 能 在 将 近 十 年 内 都 没 有 发 生 变 化 。 S e n s e p o s t 官 方 博 客 中 的 文 章 提 到 ， 通 过 O u t l o o k   F o r m s ， ” 我 们 有 足 够 的 V B 脚 本 引 擎 ” ， 演 示 的 方 法 依 旧 是 打 开 一 个 计 算 器 C a l c . e x e ： F u n c t i o n   I t e m _ O p e n ( )           C r e a t e O b j e c t ( " W s c r i p t . S h e l l " ) . R u n   " c a l c . e x e " ,   0 ,   F a l s e E n d   F u n c t i o n 要 找 到 表 单 储 存 的 位 置 还 是 花 了 不 少 功 夫 的 （ 需 要 知 道 表 单 是 如 何 通 过 M A P I 获 得 储 存 的 ） ， 这 部 分 内 容 并 没 有 记 录 到 说 明 文 档
中 。 “ 例 如 ， 将 ‘ P i d T a g S e n d O u t l o o k R e c a l l R e p o r t ’ 设 置 为 t r u e 之 后 ， 表 单 就 会 从 用 户 界 面 上 消 失 。 这 就 意 味 着 ， 在 自 定 义 表 单 下 设 的 新 项 目 菜 单 中 ， 不 会 出 现 新 的 表 单 。 为 了 找 到 这 个 新 的 表 单 ， 用 户 需 要 在 O u t l o o k 中 前 往 高 级 选 项 卡 ， 指 向 表 单 ， 选 中 收 件 箱 ， 浏 览 表 单 列 表 （ 这 是 不 现 实 的 ） 。 ” S t a l m a n s 列 出 了 如 下 的 表 单 模 板 ， 看 起 来 会 更 为 明 确 ： F u n c t i o n   P ( ) > > M A G I C < < E n d   F u n c t i o n F u n c t i o n   I t e m _ O p e n ( ) C a l l   P ( ) E n d   F u n c t i o n F u n c t i o n   I t e m _ R e p l y ( B y V a l   R e s p o n s e ) C a l l   P ( ) E n d   F u n c t i o n F u n c t i o n   I t e m _ F o r w a r d ( B y V a l   F o r w a r d I t e m ) C a l l   P ( ) E n d   F u n c t i o n
F u n c t i o n   I t e m _ R e a d ( B y V a l   R e s p o n s e ) C a l l   P ( ) E n d   F u n c t i o n 正 如 前 文 所 说 ， 攻 击 者 在 此 有 很 多 可 以 利 用 的 地 方 ， S e n s e p o s t 表 示 ， 只 要 用 户 进 行 一 些 最 基 本 的 操 作 （ 例 如 回 看 信 息 ， 阅 读 信 息 ， 打 开 信 息 ， 回 复 信 息 或 转 发 信 息 ） 就 可 以 触 发 p a y l o a d 。 S t a l m a n s 在 文 中 提 到 ： “ 你 需 要 一 小 部 分 的 社 工 技 巧 ， 吸 引 用 户 打 开 消 息 或 对 其 进 行 转 发 。 其 优 势 就 在 于 ， 即 便 用 户 把 邮 件 转 发 给 应 急 响 应 团 队 ， p a y l o a d 依 然 可 以 触 发 。 ” 微 软 ： 这 不 是 什 么 漏 洞 微 软 ： 这 不 是 什 么 漏 洞 但 微 软 不 认 为 这 是 程 序 漏 洞 ， 微 软 在 一 份 声 明 中 表 示 ： “ 博 客 中 提 到 的 这 项 技 术 并 非 软 件 漏 洞 ， 而 且 其 利 用 需 要 用 到 已 经 被 入 侵 的 帐 号 。 我 们 鼓 励 用 户 采 用 强 度 更 高 的 密 码 ， 不 要 在 多 个 服 务 之 间 采 用 相 同 的 密 码 ， 并 启 用 类 似 多 重 身 份 认 证 等 安 全 功 能 保 证 账 户 安 全 。 ” 有 兴 趣 的 可 以 < 点 击 阅 读 原 文 查 看 链 接 点 击 阅 读 原 文 查 看 链 接 >   查 看 完 整 的 攻 击 方 式 。 * 参 考 来 源 ： t h e r e g i s t e r 、 s e n s e p o s t ， F B 小 编 s u n 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理