搜索

[13163] 2018-09-09_利用Office文档结合社会工程学手段欺骗用户执行恶意代码

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-09-09_利用Office文档结合社会工程学手段欺骗用户执行恶意代码 利 用 O f f i c e 文 档 结 合 社 会 工 程 学 手 段 欺 骗 用 户 执 行 恶 意 代 码 周 大 涛   F r e e B u f   2 0 1 8 - 0 9 - 0 9 写 在 前 面 的 话 写 在 前 面 的 话 M i c r o s o f t   O f f i c e 文 档 为 攻 击 者 提 供 了 各 种 欺 骗 受 害 者 运 行 任 意 代 码 的 方 法 。 当 然 ， 攻 击 者 可 能 会 尝 试 直 接 利 用 文 档 为 攻 击 者 提 供 了 各 种 欺 骗 受 害 者 运 行 任 意 代 码 的 方 法 。 当 然 ， 攻 击 者 可 能 会 尝 试 直 接 利 用 O f f i c e 漏 洞 ， 但 更 常 见 的 情 况 是 向 受 害 者 发 送 包 含 恶 意 代 码 的 文 档 。 漏 洞 ， 但 更 常 见 的 情 况 是 向 受 害 者 发 送 包 含 恶 意 代 码 的 文 档 。   与 此 同 时 ， 微 软 也 一 直 在 制 定 安 全 措 施 。 与 此 同 时 ， 微 软 也 一 直 在 制 定 安 全 措 施 。 一 般 措 施 当 文 档 从 一 般 措 施 当 文 档 从 i n t e r n e t 上 下 载 时 ， 并 不 会 直 接 打 开 ， 而 是 在 受 保 护 视 图 中 打 开 它 们 。 上 下 载 时 ， 并 不 会 直 接 打 开 ， 而 是 在 受 保 护 视 图 中 打 开 它 们 。 O f f i c e   2 0 1 6 和 O f f i c e   3 6 5 使 用 其 他 安 全 措 施 （ 如 G P O ） ， 以 便 在 从 I n t e r n e t 下 载 文 档 时 完 全 禁 用 宏 。 而 且 P a c k e r 文 件 扩 展 名 黑 名 单 ， 阻 止 黑 名 单 文 件 类 型 的 运 行 。   当 然 ， 这 些 保 护 并 不 完 美 ， 但 它 们 有 助 于 减 少 这 类 攻 击 。 最 近 ， M a t t N e l s o n 演 示 了 文 件 可 用 于 运 行 任 意 命 令 。 这 些 文 件 最 初 不 在 黑 名 单 中 ， 因 此 可 用 于 欺 骗 受 害 者 从 O f f i c e 文 档 运 行 文 件 。 但 此 文 件 类 型 现 已 添 加 到 黑 名 单 中 ， 以 保 护 O f f i c e   2 0 1 6 / 3 6 5 用 户 。 在 2 0 1 8 年 8 月 补 丁 周 二 期 间 ， 微 软 还 发 布 了 一 个 修 复 程 序 ， 如 果 这 些 文 件 没 有 从 打 开 ， 就 阻 止 它 们 被 打 开 。 在 这 篇 博 客 中 ， 我 将 展 示 另 外 两 种 诱 导 受 害 者 运 行 恶 意 代 码 的 方 法 。 两 种 方 法 都 需 要 一 定 量 的 用 户 交 互 。 S h e l l . E x p l o r e r . 1 所 述 O L E 对 象 （ ） 充 当 嵌 入 W i n d o w s 资 源 管 理 器 或 嵌 入 式 的 I n t e r n e t   E x p l o r e r 。 此 O L E 对 象 可 以 嵌 入 O f f i c e 文 档 中 ， 并 作 为 持 久 对 象 保 存 在 文 档 中 。 专 有 格 式 用 于 持 久 化 对 象 ， 可 以 在 偏 移 量 处 找 到 。 位 于 此 偏 移 处 的 结 构 是 结 构 的   M S - S H L L I N K   。   初 始 化 （ 加 载 ） 对 象 时 ， 结 构 将 被 解 析 为 常 规 L N K 文 件 。 然 后 ， 该 对 象 从   获 取 I D 列 表 ， 并 使 用 它 来 导 航 （ 浏 览 ） 到 提 供 的 文 件 ， 文 件 夹 或 网 站 。 E m b e d d e d   E x p l o r e r 提 供 文 件 夹 路 径 时 ， 该 对 象 的 行 为 类 似 于 W i n d o w s 资 源 管 理 器 。 可 以 浏 览 文 件 或 文 件 夹 ， 甚 至 可 以 通 过 双 击 来 执 行 文 件 。 攻 击 者 可 能 会 滥 用 此 功 能 来 嵌 入 W i n d o w s 资 源 管 理 器 。 如 果 攻 击 者 可 以 说 服 其 受 害 者 双 击 攻 击 者 控 制 的 文 件 ， 则 可 以 远 程 运 行 可 执 行 代 码 。   但 是 这 种 攻 击 似 乎 很 难 实 现 。 首 先 ， O L E 对 象 需 要 单 击 才 能 激 活 ， 其 次 ， 用 户 需 要 双 击 O L E 对 象 才 能 实 际 获 得 可 用 的 W i n d o w s 资 源 管 理 器 视 图 。 最 后 ， 用 户 还 需 要 双 击 W i n d o w s 资 源 管 理 器 视 图 中 的 文 件 。 在 管 理 员 限 制 浏 览 某 些 文 件 夹 或 驱 动 器 的 可 能 性 的 情 况 下 ， 嵌 入 W i n d o w s 资 源 管 理 器 对 象 会 很 方 便 。 例 如 ， 如 果 限 制 对 驱 动 器 的 访 问 ， 则 本 地 用 户 可 以 使 用 包 含 嵌 入 式 W i n d o w s 资 源 管 理 器 的 O f f i c e 文 档 来 规 避 此 限 制 。 此 外 ， 该 对 象 可 用 于 窃 取 N e t N T L M 哈 希 值 ， 但 由 于 这 对 O f f i c e 文 档 并 不 难 ， 因 此 使 用 单 击 的 O L E 对 象 进 行 激 活 是 没 有 意 义 的 。 S e t t i n g C o n t e n t - m s S e t t i n g C o n t e n t - m s % W i n D i r % I m m e r s i v e C o n t r o l P a n e l S h e l l . E x p l o r e r . 1 C L S I D   { E A B 2 2 A C 3 - 3 0 C 1 - 1 1 C F - A 7 E B - 0 0 0 0 C 0 5 B A E 0 B } S h e l l . E x p l o r e r . 1 7 6 （ 0 x 4 C ） S h e l l L i n k （ L N K ） S h e l l . E x p o r e r . 1 S h e l l L i n k S h e l l L i n k C ：
I E 浏 览 器 浏 览 器 当 充 当 嵌 入 式 I n t e r n e t   E x p l o r e r 时 ， 事 情 会 变 得 更 有 意 思 。 除 了 可 以 在 文 档 中 嵌 入 W e b 浏 览 器 之 外 ， 它 还 允 许 浏 览 本 地 计 算 机 上 的 文 件 ， 以 及 浏 览 到 远 程 位 置 （ 共 享 和 网 站 ） 上 的 文 件 。 没 有 一 些 用 户 交 互 ， 这 是 不 可 能 完 成 的 。 单 击 激 活 也 适 用 于 此 模 式 ， 单 击 该 对 象 将 触 发 I n t e r n e t   E x p l o r e r 的 文 件 下 载 功 能 ， 这 意 味 着 将 向 用 户 显 示 “ 文 件 下 载 ” 对 话 框 。 如 果 用 户 单 击 “   运 行 ” 或 “   打 开 ” （ 取 决 于 文 件 格 式 ） ， 则 将 执 行 该 文 件 。   某 些 文 件 类 型 （ 如 E X E 文 件 ） 将 触 发 另 一 个 警 告 对 话 框 。 但 是 通 过 使 用 其 他 可 执 行 文 件 类 型 可 以 轻 松 避 免 此 对 话 框 。 S h e l l . E x p l o r e r . 1
保 护 模 式 I E 被 禁 用 用 于 控 件 ， 这 确 实 会 阻 止 显 示 其 他 对 话 框 — — 如 U A C 对 话 框 。 因 此 ， 只 需 要 两 次 单 击 就 可 以 运 行 恶 意 代 码 ， 即 单 击 以 激 活 ， 然 后 运 行 / 打 开 。 P o c 下 面 的 P o w e r S h e l l 脚 本 将 尝 试 创 建 包 含 嵌 入 式 I n t e r n e t   E x p l o r e r 对 象 的 W o r d 文 档 。 该 脚 本 使 用 P a c k a g e r 对 象 创 建 一 个 嵌 入 文 件 的 对 象 ， 单 击 该 对 象 将 触 发 文 件 下 载 功 能 。 M i c r o s o f t   F o r m s   2 . 0   H T M L 控 件 控 件 M i c r o s o f t   F o r m s   2 . 0 对 象 库 包 含 许 多 可 以 在 O f f i c e 文 档 中 使 用 的 控 件 。 这 些 控 件 标 记 为 可 安 全 初 始 化 ， 并 且 不 要 求 用 户 为 嵌 入 它 们 的 文 档 启 用 A c t i v e X 。 存 储 格 式 比 对 象 简 单 得 多 。 本 质 上 ， 它 由 对 象 的 C L S I D 和 H T M L 片 段 （ U T F - 1 6 编 码 ） 组 成 。 H T M L 片 段 不 一 定 必 须 格 式 正 确 ， 对 象 只 会 搜 索 它 支 持 的 属 性 。 两 个 对 象 支 持 a c t i o n 属 性 ， 该 属 性 采 用 U R L 。 这 些 对 象 是 ： “ H T M L ” A c t i v e X S h e l l . E x p l o r e r . 1
单 击 设 置 a c t i o n 属 性 的 嵌 入 对 象 ， 将 导 致 打 开 定 义 的 U R L 。 常 规 U R L 将 在 默 认 浏 览 器 中 打 开 ， 但 文 件 U R L （ 包 括 共 享 文 件 ） 将 直 接 打 开 。 将 显 示 一 个 警 告 对 话 框 ， 但 此 对 话 框 与 其 他 警 告 对 话 框 略 有 不 同 ， 如 图 6 所 示 。 此 警 告 对 话 框 对 于 所 有 文 件 类 型 都 是 相 同 的 。 接 受 一 个 s r c ， 可 用 于 配 置 文 档 中 显 示 的 图 像 。 使 用 图 像 可 以 伪 装 对 象 ， 例 如 将 其 伪 装 成 嵌 入 文 档 以 诱 使 受 害 者 点 击 它 。   应 该 注 意 的 是 ， 当 O f f i c e 文 档 包 含 W e b 标 记 时 ， 会 显 示 另 一 个 警 告 对 话 框 ， 表 明 它 是 从 I n t e r n e t 下 载 的 。 此 对 话 框 更 明 确 ， 从 远 程 攻 击 者 的 角 度 来 看 ， 这 种 技 术 没 什 么 用 。 P o c 以 下 P o w e r S h e l l 脚 本 可 用 于 创 建 具 有 嵌 入 的 对 象 的 W o r d 文 档 ， 单 击 该 对 象 将 导 致 计 算 器 打 开 。 受 保 护 的 视 图 受 保 护 的 视 图 如 上 所 述 ， 文 档 可 能 包 含 W e b 标 记 以 将 文 件 标 记 为 从 因 特 网 下 载 。 如 果 存 在 ， 文 档 将 在 受 保 护 的 视 图 中 打 开 。 在 此 模 式 下 ， 将 禁 用 文 档 中 存 在 的 任 何 嵌 入 对 象 。 除 非 攻 击 者 使 用 绕 过 受 保 护 视 图 的 漏 洞 ， 否 则 需 要 额 外 的 社 交 工 程 来 欺 骗 用 户 单 击 “   启 用 编 辑 ” 。 F o r m s . H T M L ： I m a g e . 1 F o r m s . H T M L ： I m a g e . 1
如 何 防 御 如 何 防 御 用 户 应 该 注 意 包 含 以 下 任 何 对 象 的 文 档 ： 对 于 对 象 从 对 象 中 提 取 L N K 文 件 并 检 索 I D 列 表 以 找 出 打 开 时 的 内 容 单 击 对 象 。 我 们 的 G i t H u b 页 面 上 的 S h e l l L i n k   . N E T 类 库 可 用 于 从 L N K 文 件 中 读 取 I D 列 表 。 通 常 ， L N K 文 件 在 对 象 的 偏 移 量 7 6 处 开 始 。   H T M L   F o r m s 对 象 更 容 易 解 析 ， 因 为 它 们 是 带 有 1 6 字 节 G U I D 的 U T F - 1 6 编 码 的 H T M L 片 段 。 防 御 者 应 该 知 道 有 多 种 方 法 可 以 在 O f f i c e 文 档 中 存 储 对 象 。 例 如 ， A c t i v e X 控 件 也 可 以 嵌 入 为 对 象 ， 其 中 对 象 的 属 性 设 置 在 X M L 文 件 中 （ 例 如 ） 。 最 后 的 话 最 后 的 话 R e d   T e a m e r s （ 和 攻 击 者 ） 一 直 在 寻 找 新 方 法 ， 他 们 并 不 关 心 什 么 符 合 安 全 修 复 的 标 准 。 作 为 一 名 防 守 者 ， 知 道 什 么 样 的 攻 击 有 助 于 阻 止 他 们 （ 工 具 者 ） 。 他 不 应 止 步 于 此 ， 通 过 部 署 应 用 程 序 白 名 单 和 攻 击 面 减 少 规 则 （ 或 类 似 替 代 方 案 ） 之 类 的 东 西 来 提 高 攻 击 者 的 门 槛 。 但 更 重 要 的 是 ， 确 保 能 够 了 解 网 络 上 发 生 的 事 情 ， 并 寻 找 入 侵 者 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i f y ， 由 周 大 涛 编 译 ， 转 载 请 注 明 来 自 ， 由 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 S h e l l . E x p l o r e r . 1 S h e l l . E x p l o r e r . 1 P e r s i s t P r o p e r t y B a g a c t i v e X 1 . x m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理