搜索

[13170] 2018-09-11_Office文档嵌入对象点击执行的社工技巧

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-09-11_Office文档嵌入对象点击执行的社工技巧 O f f i c e 文 档 嵌 入 对 象 点 击 执 行 的 社 工 技 巧 s e c i s t   F r e e B u f   2 0 1 8 - 0 9 - 1 1 简 介 简 介 M i c r o s o f t   O f f i c e 相 信 大 家 都 用 过 。 相 信 大 家 都 用 过 。 O f f i c e 在 文 档 中 嵌 入 对 象 极 大 的 方 便 了 我 们 的 日 常 使 用 ， 但 同 时 也 为 我 们 带 在 文 档 中 嵌 入 对 象 极 大 的 方 便 了 我 们 的 日 常 使 用 ， 但 同 时 也 为 我 们 带 来 了 众 多 安 全 问 题 。 可 以 说 ， 来 了 众 多 安 全 问 题 。 可 以 说 ， O f f i c e 文 档 为 攻 击 者 提 供 了 各 种 方 法 来 诱 骗 受 害 者 运 行 任 意 代 码 。 当 然 ， 攻 击 者 文 档 为 攻 击 者 提 供 了 各 种 方 法 来 诱 骗 受 害 者 运 行 任 意 代 码 。 当 然 ， 攻 击 者 也 可 能 会 尝 试 利 用 也 可 能 会 尝 试 利 用 O f f i c e 漏 洞 ， 但 更 常 见 的 情 况 是 ， 攻 击 者 会 向 受 害 者 发 送 包 含 恶 意 宏 或 嵌 入 式 （ 漏 洞 ， 但 更 常 见 的 情 况 是 ， 攻 击 者 会 向 受 害 者 发 送 包 含 恶 意 宏 或 嵌 入 式 （ P a c k a g e r ） ） 可 执 行 文 件 的 可 执 行 文 件 的 O f f i c e 文 档 。 文 档 。 为 此 ， 微 软 在 O f f i c e 的 安 全 问 题 上 也 下 了 不 少 的 功 夫 。 O f f i c e 中 有 个 名 为 受 保 护 的 视 图 （ P r o t e c t e d   V i e w ） 的 安 全 功 能 ， 如 果 O f f i c e 文 档 来 自 于 互 联 网 ， 那 么 该 功 能 会 以 受 限 方 式 打 开 该 文 档 。 这 个 功 能 的 目 的 是 限 制 可 运 行 的 O f f i c e 组 件 ， 以 防 止 攻 击 者 自 动 利 用 诸 如 O L E 、 F l a s h 以 及 A c t i v e X 等 对 象 中 存 在 的 漏 洞 。 在 O f f i c e   2 0 1 6 和 O f f i c e   3 6 5 还 添 加 了 其 它 的 安 全 措 施 （ 如 G P O 等 ） ， 这 样 当 用 户 从 I n t e r n e t 下 载 文 档 时 宏 将 完 全 被 禁 用 ， 以 及 阻 止 在 P a c k e r 文 件 扩 展 名 黑 名 单 列 表 中 的 文 件 类 型 运 行 。 当 然 ， 即 便 如 此 安 全 问 题 依 旧 存 在 ， 但 这 些 措 施 也 在 一 定 程 度 上 减 少 了 此 类 攻 击 的 发 生 。 最 近 ， M a t t   N e l s o n 向 我 们 演 示 了 使 用 S e t t i n g C o n t e n t - m s 文 件 运 行 任 意 命 令 的 方 法 。 由 于 这 些 文 件 并 不 包 含 在 文 件 类 型 的 黑 名 单 列 表 中 ， 因 此 攻 击 者 可 以 诱 骗 受 害 者 从 O f f i c e 文 档 运 行 嵌 入 的 S e t t i n g C o n t e n t - m s 文 件 。 目 前 ， 此 类 文 件 类 型 已 被 添 加 到 了 黑 名 单 中 。 在 2 0 1 8 年 8 月 的 补 丁 更 新 中 ， 微 软 还 发 布 了 一 个 修 复 程 序 ， 即 如 果 不 是 从 % W i n D i r % I m m e r s i v e C o n t r o l P a n e l . 打 开 这 些 文 件 的 ， 则 会 进 行 阻 止 。 在 本 文 中 ， 我 将 向 大 家 介 绍 另 外 两 种 诱 骗 受 害 者 运 行 恶 意 代 码 的 方 法 。 这 两 种 方 法 都 需 要 有 一 定 量 的 用 户 交 互 。 M S R C 指 出 “ 这 种 技 术 需 要 结 合 大 量 的 社 会 工 程 学 技 巧 ： 受 害 者 必 须 要 对 安 全 警 告 说 ’ Y e s ’   ， 且 在 非 保 护 模 式 下 运 行 ” 攻 击 者 才 有 可 能 得 手 ， 因 此 并 不 会 针 对 该 问 题 发 布 任 何 的 修 复 程 序 。 S h e l l . E x p l o r e r . 1 S h e l l . E x p l o r e r . 1   O L E 对 象 （ C L S I D   { E A B 2 2 A C 3 - 3 0 C 1 - 1 1 C F - A 7 E B - 0 0 0 0 C 0 5 B A E 0 B } ） 充 当 嵌 入 式 W i n d o w s 资 源 管 理 器 或 I E 浏 览 器 。 此 O L E 对 象 可 以 嵌 入 到 O f f i c e 文 档 中 ， 并 可 作 为 持 久 对 象 保 存 在 文 档 中 。 专 有 格 式 用 于 持 久 化 S h e l l . E x p l o r e r . 1 对 象 ， 在 偏 移 量 7 6   ( 0 x 4 C ) 处 可 以 找 到 熟 悉 的 结 构 。 可 以 看 到 位 于 此 偏 移 处 的 结 构 是 S h e l l L i n k   ( L N K ) [ M S - S H L L I N K ] 。
当 初 始 化 （ 加 载 ） S h e l l . E x p o r e r . 1 对 象 时 ， S h e l l L i n k 结 构 将 被 解 析 为 常 规 L N K 文 件 。 然 后 ， 该 对 象 从 S h e l l L i n k 获 取 I D 列 表 ， 并 以 此 来 导 航 到 提 供 的 文 件 ，   ( s h e l l )   文 件 夹 或 网 站 。 嵌 入 嵌 入 W i n d o w s 资 源 管 理 器 对 象 资 源 管 理 器 对 象 当 提 供 了 文 件 夹 路 径 后 ， 该 对 象 的 行 为 类 似 于 W i n d o w s 资 源 管 理 器 。 可 以 浏 览 文 件 或 文 件 夹 ， 甚 至 可 以 通 过 双 击 来 执 行 文 件 。 攻 击 者 可 能 会 滥 用 此 功 能 来 嵌 入 W i n d o w s 资 源 管 理 器 ， 从 而 打 开 包 含 可 执 行 文 件 的 远 程 共 享 。 如 果 攻 击 者 可 以 说 服 受 害 者 双 击 文 件 ， 就 可 以 从 该 远 程 共 享 运 行 可 执 行 代 码 。 但 这 种 攻 击 者 的 实 现 条 件 较 为 苛 刻 。 首 先 ， O L E 对 象 需 要 单 击 才 能 激 活 。 其 次 ， 用 户 需 要 双 击 O L E 对 象 才 能 实 际 获 得 可 用 的 W i n d o w s 资 源 管 理 器 视 图 。 最 后 ， 用 户 还 需 要 双 击 W i n d o w s 资 源 管 理 器 视 图 中 的 文 件 。 这 其 中 的 任 何 一 步 出 现 问 题 ， 都 将 导 致 失 败 。 在 某 些 情 况 下 ， 管 理 员 可 能 会 限 制 一 些 用 户 对 某 些 文 件 夹 或 硬 盘 的 浏 览 权 限 。 这 种 情 况 下 ， 嵌 入 W i n d o w s 资 源 管 理 器 对 象 就 会 很 方 便 。 例 如 ， 如 果 限 制 对 C : 盘 的 访 问 ， 则 本 地 用 户 可 以 使 用 包 含 嵌 入 式 W i n d o w s 资 源 管 理 器 的 O f f i c e 文 档 来 绕 过 该 限 制 。 此 外 ， 该 对 象 也 可 用 于 窃 取 N e t N T L M 哈 希 值 ， 但 这 对 于 O f f i c e 文 档 来 说 并 不 难 ， 因 此 使 用 单 击 激 活 O L E 对 象 是 没 有 意 义 的 。 I n t e r n e t   E x p l o r e r 当 S h e l l . E x p l o r e r . 1 充 当 嵌 入 式 I n t e r n e t   E x p l o r e r 时 ， 除 了 可 以 在 文 档 中 嵌 入 W e b 浏 览 器 之 外 ， 它 还 允 许 我 们 浏 览 本 地 计 算 机 上 的 文 件 ， 以 及 远 程 （ 共 享 和 网 站 ） 上 的 文 件 。 但 这 依 然 需 要 与 用 户 产 生 交 互 ， 可 以 说 这 是 无 法 避 免 的 。 单 击 激 活 也 适 用 于 此 模 式 ， 单 击 该 对 象 将 触 发 I n t e r n e t   E x p l o r e r 的 文 件 下 载 功 能 ， 这 将 向 用 户 弹 出 一 个 “ 文 件 下 载 ” 对 话 框 。 如 果 用 户 单 击 “ 运 行 ” 或 “ 打 开 ” （ 主 要 取 决 于 文 件 格 式 ） ， 则 将 执 行 该 文 件 。
某 些 文 件 类 型 （ 如 E X E 文 件 ） 还 将 会 触 发 一 个 额 外 的 警 告 对 话 框 。 但 我 们 可 以 通 过 使 用 其 他 可 执 行 文 件 类 型 ， 来 避 免 该 警 告 弹 框 （ 例 如 S e t t i n g C o n t e n t - m s 文 件 格 式 等 ） 。 对 于 控 件 禁 用 I E 保 护 模 式 ， 这 将 阻 止 其 他 对 话 弹 框   -   如 U A C 对 话 框 。 因 此 ， 只 需 要 单 击 两 次 就 可 以 运 行 恶 意 代 码 ， 即 单 击 激 活 ， 然 后   运 行 / 打 开 。 S h e l l . E x p l o r e r . 1 对 象 ， 也 是 解 决 O f f i c e   2 0 1 6 / 3 6 5 中 文 件 扩 展 名 黑 名 单 的 一 个 很 好 的 方 法 。 因 为 ， S h e l l . E x p l o r e r . 1 并 未 使 用 黑 名 单 列 表 。 P O C 以 下 P o w e r S h e l l 脚 本 将 尝 试 创 建 包 含 嵌 入 式 I n t e r n e t   E x p l o r e r 对 象 的 W o r d 文 档 。 该 脚 本 使 用 P a c k a g e r 对 象 创 建 了 一 个 看 起 来 像 是 嵌 入 文 件 的 对 象 ， 单 击 该 对 象 将 触 发 文 件 下 载 功 能 。
M i c r o s o f t   F o r m s   2 . 0   H T M L   控 件 控 件 M i c r o s o f t   F o r m s   2 . 0 对 象 库 包 含 许 多 可 以 在 O f f i c e 文 档 中 使 用 的 “ H T M L ” A c t i v e X 控 件 。 这 些 控 件 在 初 始 化 时 被 标 记 为 安 全 ， 并 且 不 需 要 用 户 为 嵌 入 它 们 的 文 档 启 用 A c t i v e X 。 存 储 格 式 比 S h e l l . E x p l o r e r . 1 对 象 简 单 得 多 。 本 质 上 ， 它 是 由 对 象 的 C L S I D 和 H T M L 片 段 （ U T F - 1 6 编 码 ） 组 成 的 。 H T M L 片 段 （ H T M L   f r a g m e n t ） 的 格 式 正 确 与 否 并 不 重 要 ， 对 象 只 会 搜 索 它 支 持 的 属 性 。 以 下 是 支 持 a c t i o n 属 性 的 两 个 对 象 ： F o r m s . H T M L : I m a g e . 1   ( C L S I D   { 5 5 1 2 D 1 1 2 - 5 C C 6 - 1 1 C F - 8 D 6 7 - 0 0 A A 0 0 B D C E 1 D } )
F o r m s . H T M L : S u b m i t b u t t o n . 1   ( C L S I D   { 5 5 1 2 D 1 1 0 - 5 C C 6 - 1 1 C F - 8 D 6 7 - 0 0 A A 0 0 B D C E 1 D } ) 单 击 设 置 了 a c t i o n 属 性 的 嵌 入 对 象 ， 将 打 开 定 义 的 U R L 。 常 规 U R L 将 在 默 认 浏 览 器 中 打 开 ， 但 文 件 U R L （ 包 括 共 享 文 件 ） 将 会 被 直 接 打 开 。 这 将 弹 出 一 个 警 告 对 话 框 ， 但 此 对 话 框 与 其 他 警 告 对 话 框 略 有 不 同 ， 如 下 图 所 示 。 F o r m s . H T M L : I m a g e . 1 支 持 s r c 属 性 ， 可 用 于 配 置 文 档 中 显 示 的 图 像 。 使 用 图 像 可 以 伪 装 对 象 ， 例 如 将 其 伪 装 成 嵌 入 文 档 诱 使 受 害 者 点 击 它 。 需 要 提 醒 的 是 ， 当 O f f i c e 文 档 包 含 W e b 标 记 ) 时 ， 将 会 弹 出 另 外 一 个 警 告 对 话 框 ， 向 用 户 表 明 它 是 从 I n t e r n e t 下 载 的 。 此 对 话 框 的 提 示 将 更 为 明 确 ， 从 一 个 远 程 攻 击 者 的 角 度 来 看 ， 这 种 技 术 并 不 实 用 。 P O C 以 下 P o w e r S h e l l 脚 本 可 用 于 创 建 具 有 嵌 入 F o r m s . H T M L : I m a g e . 1 对 象 的 W o r d 文 档 ， 单 击 该 对 象 将 打 开 计 算 器 。
受 保 护 视 图 受 保 护 视 图 如 上 所 述 ， 当 O f f i c e 文 档 包 含 W e b 标 记 ) 时 ， 则 会 向 用 户 表 明 它 是 从 I n t e r n e t 下 载 的 。 这 种 情 况 下 ， 文 档 将 在 受 保 护 的 视 图 中 打 开 。 在 此 模 式 下 ， 将 禁 用 文 档 中 存 在 的 任 何 嵌 入 对 象 。 除 非 攻 击 者 利 用 漏 洞 绕 过 受 保 护 视 图 ， 否 则 攻 击 者 就 需 要 结 合 社 工 的 技 巧 来 欺 骗 受 害 者 单 击 “ 启 用 编 辑 （ E n a b l e   E d i t i n g ） ” 。
防 御 防 御 特 别 关 注 包 含 以 下 对 象 的 文 档 ： S h e l l . E x p l o r e r . 1   /   { E A B 2 2 A C 3 - 3 0 C 1 - 1 1 C F - A 7 E B - 0 0 0 0 C 0 5 B A E 0 B } F o r m s . H T M L : I m a g e . 1   /   { 5 5 1 2 D 1 1 2 - 5 C C 6 - 1 1 C F - 8 D 6 7 - 0 0 A A 0 0 B D C E 1 D } F o r m s . H T M L : S u b m i t b u t t o n . 1   /   { 5 5 1 2 D 1 1 0 - 5 C C 6 - 1 1 C F - 8 D 6 7 - 0 0 A A 0 0 B D C E 1 D } S h e l l . E x p l o r e r . 1 对 象 从 对 象 中 提 取 L N K 文 件 ， 并 检 索 I D 列 表 查 找 单 击 对 象 时 打 开 的 内 容 。 我 们 的 G i t H u b 上 的 S h e l l L i n k . N E T 类 库 可 用 于 从 L N K 文 件 中 读 取 I D 列 表 。 H T M L   F o r m s 对 象 更 容 易 解 析 。 作 为 防 御 者 应 该 知 道 有 多 种 方 法 可 以 在 O f f i c e 文 档 中 存 储 对 象 。 例 如 ， A c t i v e X 控 件 也 可 以 嵌 入 作 为 P e r s i s t P r o p e r t y B a g 对 象 ， 其 中 对 象 的 属 性 设 置 在 X M L 文 件 中 （ 例 如 ， a c t i v e X 1 . x m l ） 。 总 结 总 结 当 前 ， 通 过 诱 骗 受 害 者 点 击 运 行 恶 意 可 执 行 文 件 仍 是 一 种 较 为 流 行 的 方 法 。 由 于 近 些 年 来 微 软 对 O f f i c e 和 W i n d o w s 安 全 的 不 断 优 化 ， 攻 击 者 需 要 探 索 出 更 多 的 攻 击 方 法 。 在 本 文 中 我 为 大 家 提 供 了 两 种 备 选 方 案 ， 相 比 之 下 S h e l l . E x p l o r e r . 1 技 术 似 乎 在 实 际 场 景 中 更 加 实 用 。 虽 然 ， 在 实 际 的 攻 击 过 程 当 中 会 向 用 户 弹 框 告 警 ， 但 多 数 用 户 的 安 全 意 识 都 较 为 薄 弱 ， 攻 击 者 往 往 只 要 耍 一 点 小 聪 明 就 能 控 制 用 户 行 为 成 功 实 施 攻 击 计 划 。 作 为 红 队 队 员 或 是 一 个 攻 击 者 ， 他 们 并 不 会 去 关 心 有 什 么 安 全 修 复 ， 只 要 有 机 会 他 们 就 会 马 上 付 诸 于 行 动 。 而 作 为 一 名 防 御 者 ， 我 们 必 须 第 一 时 间 了 解 或 掌 握 此 类 攻 击 方 法 ， 以 作 出 合 理 的 响 应 和 防 御 计 划 方 案 。 不 仅 于 此 ， 我 们 还 要 通 过 通 过 部 署 诸 如 应 用 程 序 白 名 单 和 攻 击 面 减 少 规 则 （ 或 类 似 的 替 代 方 案 ） 来 提 高 攻 击 者 的 门 槛 。 但 更 重 要 的 是 ， 做 好 在 安 全 事 件 发 生 之 前 的 安 全 防 护 工 作 ， 以 及 追 捕 入 侵 者 让 他 们 为 此 付 出 沉 重 代 价 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i f y ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理