搜索

[19170] 2017-12-01_【动手实验】通杀全版本的Office远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-18
2017-12-01_【动手实验】通杀全版本的Office远程代码执行漏洞 【 动 手 实 验 】 通 杀 全 版 本 的 O f f i c e 远 程 代 码 执 行 漏 洞 i 春 秋   2 0 1 7 - 1 2 - 0 1 2 0 1 7 年 1 1 月 1 4 日 ， 微 软 发 布 了 1 1 月 份 的 安 全 补 丁 更 新 ， 其 中 比 较 引 人 关 注 的 莫 过 于 悄 然 修 复 了 潜 伏 1 7 年 之 久 的 O f f i c e 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 1 1 8 8 2 ） 。 该 漏 洞 为 O f f i c e 内 存 破 坏 漏 洞 ， 影 响 目 前 流 行 的 所 有 O f f i c e 版 本 。 恶 意 访 问 者 可 以 利 用 漏 洞 以 当 前 登 录 的 用 户 的 身 份 执 行 任 意 命 令 。 失 败 的 开 发 尝 试 可 能 会 导 致 拒 绝 服 务 条 件 。 M i c r o s o f t   O f f i c e 是 一 套 由 微 软 公 司 开 发 的 办 公 软 件 ， 它 为   M i c r o s o f t   W i n d o w s   和   M a c   O S   X 而 开 发 。 与 办 公 室 应 用 程 序 一 样 ， 它 包 括 联 合 的 服 务 器 和 基 于 互 联 网 的 服 务 。 最 近 版 本 的   O f f i c e   被 称 为   “ O f f i c e   s y s t e m ”   而 不 叫   “ O f f i c e   s u i t e ” ， 反 映 出 它 们 也 包 括 服 务 器 的 事 实 。 你 的 电 脑 里 是 否 安 装 了 M i c r o s o f t   O f f i c e 系 列 软 件 呢 ？ 他 们 又 会 遇 得 到 怎 样 的 漏 洞 ？ 让 我 们 来 学 习 一 下 本 周 的 《 《 通 杀 全 版 本 的 通 杀 全 版 本 的 O f f i c e 远 程 远 程 代 码 执 行 漏 洞 （ 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 1 1 8 8 2 ） ） 》 吧 ~ 实 验 环 境 ： 实 验 环 境 ： 操 作 机 ： W i n d o w s   X P 操 作 机 I P ： 1 7 2 . 1 6 . 1 1 . 2 实 验 目 的 ： 实 验 目 的 ： 学 习 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 原 理 学 习 C V E - 2 0 1 7 - 1 1 8 8 2 远 程 代 码 执 行 漏 洞 利 用 方 法 掌 握 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 修 复 方 案 实 验 工 具 ： 实 验 工 具 ： o f f i c e ： 微 软 办 公 软 件 C V E - 2 0 1 7 - 1 1 8 8 2   P O C ： C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 的 验 证 脚 本 。 实 验 步 骤
实 验 内 容 ： 实 验 内 容 ： M i c r o s o f t   O f f i c e 是 微 软 公 司 开 发 的 一 套 基 于   W i n d o w s   操 作 系 统 的 办 公 软 件 套 装 。 常 用 组 件 有   W o r d 、 E x c e l 、 P o w e r p o i n t 等 。 最 新 版 本 为 O f f i c e   3 6 5 ( O f f i c e   1 6 ) 。 影 响 版 本 ： 影 响 版 本 ： 受 影 响 版 本 包 括 ， O f f i c e   2 0 1 6 、 O f f i c e   2 0 1 3 、 O f f i c e   2 0 1 0 、 O f f i c e   2 0 0 7 相 关 版 本 。 漏 洞 危 害 ： 漏 洞 危 害 ： 恶 意 访 问 者 可 以 利 用 漏 洞 以 当 前 登 录 的 用 户 的 身 份 执 行 任 意 命 令 。 失 败 的 开 发 尝 试 可 能 会 导 致 拒 绝 服 务 条 件 。 步 骤 步 骤 1 ： 了 解 漏 ： 了 解 漏 洞 原 理 、 洞 原 理 、 漏 洞 分 析 漏 洞 分 析 该 漏 洞 由 E m b e d i 公 司 研 究 员 发 现 ， 漏 洞 可 导 致 远 程 代 码 执 行 、 未 授 权 认 证 绕 过 、 无 需 用 户 交 互 的 远 程 恶 意 程 序 植 入 。 目 前 漏 洞 编 号 C V E - 2 0 1 7 - 1 1 8 8 2 ， 主 要 漏 洞 部 件 为 O f f i c e 中 的 自 带 公 式 编 辑 器 E Q N E D T 3 2 . E X E 。 由 于 不 正 确 的 内 存 操 作 ， 组 件 E Q N E D T 3 2 . E X E 会 无 法 正 确 处 理 内 存 中 的 执 行 对 象 ， 这 种 破 坏 条 件 ， 致 使 恶 意 访 问 者 可 在 当 前 系 统 登 录 用 户 环 境 下 ， 利 用 O f f i c e 远 程 植 入 恶 意 代 码 或 其 它 恶 意 程 序 。 微 软 在 M i c r o s o f t   O f f i c e   2 0 0 0 中 就 引 入 了 E Q N E D T 3 2 . E X E 组 件 ， 并 保 留 至 M i c r o s o f t   O f f i c e   2 0 0 7 之 后 发 布 的 所 有 O f f i c e   版 本 中 ， 以 确 保 新 旧 软 件 的 文 档 兼 容 。 实 验 步 骤
尽 管 微 软 只 将 这 个 漏 洞 标 为 " I m p o r t a n t " （ 重 要 ） 而 不 是 “ C r i t i c a l ” （ 高 危 ） ， 但 是 发 现 这 个 漏 洞 的 E m b e d i   认 为 它 e x t r e m e l y   d a n g e r o u s “ 极 其 危 险 ” ， 因 为 这 个 漏 洞 在 过 去 1 7 年 来 微 软 所 有 的 O f f i c e 版 本 上 都 存 在 ， 而 且 可 造 成 远 程 代 码 执 行 。 出 现 问 题 的 模 块 E Q N E D T 3 2 . E X E 是 在 O f f i c e 安 装 过 程 中 默 认 安 装 的 ， 是 用 来 编 辑 数 学 公 式 （ 以 O b j e c t   L i n k i n g   a n d   E m b e d d i n g   ( O L E )   的 形 式 ） 的 编 辑 器 。 当 插 入 和 编 辑 数 学 公 式 时 ， E Q N E D T 3 2 . E X E 并 不 会 被 作 为 O f f i c e 进 程 （ 如 W o r d 等 ） 的 子 进 程 创 建 ， 而 是 以 单 独 的 进 程 形 式 存 在 。 这 就 意 味 着 对 于 W I N W O R D . E X E ,   E X C E L . E X E 等 O f f i c e 进 程 的 保 护 机 制 ， 无 法 阻 止 E Q N E D T 3 2 . E X E 这 个 进 程 被 利 用 。 s t r c p y 函 数 没 有 检 查 复 制 时 的 长 度 造 成 了 溢 出 。
由 于 该 模 块 对 于 输 入 的 公 式 未 作 正 确 的 处 理 ， 所 以 恶 意 访 问 者 可 以 通 过 刻 意 构 造 的 数 据 内 容 覆 盖 掉 栈 上 的 函 数 地 址 ， 从 而 劫 持 程 序 流 程 ， 在 登 录 用 户 的 上 下 文 环 境 中 执 行 任 意 命 令 。 漏 洞 利 用 的 代 码 分 析 漏 洞 利 用 的 代 码 分 析 R T F 类 型 的 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 利 用 文 档 。 触 发 漏 洞 的 O L E 对 象 加 载 方 式 与 今 年 上 半 年 的 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 类 似 ， 使 用 了 o b j u p d a t e 控 制 字 来 保 证 O L E 对 象 的 自 动 更 新 和 加 载 。 该 O L E 对 象 的 类 型 为 “ E q u a t i o n . 3 ” ， 即 公 式 编 辑 器 3 . 0 类 型 对 象 ， 该 公 式 对 象 使 用 了 C F B 格 式 进 行 存 储 。 对 该 O L E 对 象 进 行 提 取 和 分 析 ， 可 以 发 现 公 式 的 相 关 内 容 存 放 在 x 0 1 C o m p O b j 流 之 后 。
公 式 的 内 容 使 用 了 一 种 名 为 M T E F   v . 3 的 二 进 制 格 式 进 行 存 储 。 该 格 式 的 头 部 为 2 8 （ 0 x 1 C ） 个 字 节 ， 定 义 如 下 ： s t r u c t   E Q N O L E F I L E H D R   {       W O R D         c b H d r ;             / /   格 式 头 长 度 ， 固 定 为 0 x 1 C 。       D W O R D       v e r s i o n ;         / /   固 定 为 0 x 0 0 0 2 0 0 0 0 。       W O R D         c f ;                     / /   该 公 式 对 象 的 剪 贴 板 格 式 。       D W O R D       c b O b j e c t ;     / /   M T E F 数 据 的 长 度 ， 不 包 括 头 部 。       D W O R D       r e s e r v e d 1 ;   / /   未 公 开       D W O R D       r e s e r v e d 2 ;   / /   未 公 开     D W O R D       r e s e r v e d 3 ;   / /   未 公 开       D W O R D       r e s e r v e d 4 ;   / /   未 公 开 } ; 在 漏 洞 利 用 文 档 中 ， 该 结 构 如 下 所 示 。 对 上 图 的 解 析 如 下 表 所 示 紧 随 该 公 式 头 结 构 的 数 据 为 公 式 数 据 。 公 式 数 据 使 用 字 节 流 进 行 存 储 。 M T E F   v . 3 公 式 数 据 中 ， 前 5 个 字 节 为 数 据 头 ， 解 析 如 下 表 所 示
在 数 据 头 之 后 的 字 节 流 即 为 公 式 数 据 。 数 据 0 x 0 A 所 对 应 的 数 据 类 型 为 S I Z E ， 只 占 用 一 个 字 节 。 数 据 0 × 0 8 所 对 应 的 数 据 类 型 为 F O N T ， 文 档 中 数 据 的 解 析 如 下 表 所 示 。 通 过 对 下 面 的 两 张 图 进 行 对 比 ， 可 以 明 白 栈 溢 出 的 触 发 过 程 。   被 覆 盖 前 的 栈 数 据 :
被 覆 盖 后 的 栈 数 据 :   该 公 式 编 辑 器 并 没 有 开 启 A S L R 。 这 个 硬 编 码 的 地 址 0 x 0 0 4 3 0 C 1 2 对 应 于 对 函 数 W i n E x e c 的 调 用 。 因 而 该 字 体 名 对 应 的 命 令 得 以 执 行 。 步 骤 步 骤 2 ： 学 习 ： 学 习 C V E - 2 0 1 7 - 1 1 8 8 2 远 程 代 码 执 行 漏 洞 利 用 方 法 远 程 代 码 执 行 漏 洞 利 用 方 法 第 一 步 ： 打 开 命 令 行 第 一 步 ： 打 开 命 令 行 我 们 使 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 的 恶 意 脚 本 来 生 成 包 含 恶 意 代 码 的 文 档 文 件 。 打 开 桌 面 上 的 文 件 夹 C V E - 2 0 1 7 - 1 1 8 8 2 可 以 发 现 e x p l o i t . p y 恶 意 脚 本
点 击   开 始   >   运 行   >   输 入 c m d

打 开 命 令 行 后 输 入 命 令 c d   C : D o c u m e n t s   a n d   S e t t i n g s i c h u n q i u 桌 面 C V E - 2 0 1 7 - 1 1 8 8 2 进 入 文 件 夹 C V E - 2 0 1 7 - 1 1 8 8 2 第 二 步 ： 使 用 恶 意 脚 本 生 成 恶 意 文 档 第 二 步 ： 使 用 恶 意 脚 本 生 成 恶 意 文 档 输 入 命 令 ： p y t h o n   e x p l o i t . p y   - c   " c m d . e x e   / c   c a l c . e x e "   - o   c a l c . d o c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理