90_ 发表于 2015-7-21 21:08:48

Microsoft Word远程代码执行CVE-2015-0097 简单利用介绍

wooyun@三好学生

POC下载地址

0x00简介
Microsoft Office Word 2003, 2007 Remote Code Execution Vulnerability

0x01已知成功环境
Word 2003, 2007 SP3 on Windows XP, 7, 8, 8.1 all up to this date.

0x02poc文件说明
Create-Recordset.hta：用来生成recordset.txt和dldrun.vbs
poc.bin：用来填充至Word文件
POC-Generator.vbs：运行后生成poc
Readme + Instructions.rtf：英文说明文档

0x03简单原理说明
1、漏洞说明：
Word允许通过调用 ADO 对象实现任意代码执行。
2、poc说明：
打开恶意word文档后：
默认从远程服务器下载recordset.txt保存至本地启动项并命名为poc.hta；
poc.hta的功能为下载dldrun.vbs；
dldrun.vbs的功能为运行计算器；

0x04poc修改
测试POC-Generator.vbs至少发现3处需要修改
1、添加ip
strURL变量未指定服务器ip，需要手动设置
2、去掉累赘
"Plase tell me the file name of the executable, with the .exe extension, to download and run","EXE name"根本就是无用功能，可以删掉
3、对启动项路径判断错误
ax.WriteLine("svd = ""\users\"" + f + ""\appdata\roaming\microsoft\windows\start menu\programs\startup\poc.hta""")该句会指向一个错误路径导致无法写入

0x05实际测试
1、按上述操作修改POC-Generator.vbs并运行
如图：

2、将recordset.txt和dldrun.vbs上传至服务器
3、本地运行test.rtf后启动项生成poc.hta
如图：

4、下次开机运行poc.hta下载dldrun.vbs弹出计算器

0x06补充说明
doc/docx/rtf测试均成功

borall 发表于 2015-7-22 14:50:26

支持，看起来不错呢！

ruguoruo 发表于 2015-7-22 15:39:10

还是不错的哦，顶了

a136 发表于 2015-7-22 23:14:25

cl476874045 发表于 2015-7-22 23:29:20

学习学习技术，加油！

arctic 发表于 2015-7-24 06:50:01

perble 发表于 2015-7-25 05:31:36

学习学习技术，加油！

borall 发表于 2015-7-25 14:44:46

感谢楼主的分享~

菜鸟小羽 发表于 2015-7-25 23:26:16

支持，看起来不错呢！

wilist 发表于 2015-7-26 13:57:44

页: [1] 2 3 4 5 6 7 8 9 10
查看完整版本: Microsoft Word远程代码执行CVE-2015-0097 简单利用介绍