你的office补丁更新了吗?演示office漏洞11882攻击全过程

本文还原利用微软office漏洞11882攻击存在此漏洞电脑的整个过程。

前一段时间爆出了最新的Office高危漏洞CVE-2017-11882。2017.11.14微软发布11月补丁,修复了包括CVE-2017-11882在内的多个漏洞。值得注意的是,该漏洞已潜伏17年之久,影响目前流行的所有Office版本! 影响面相当广,此漏洞属于内存损坏漏洞,攻击者可以利用此漏洞以当前用户的身份执行任意指令。

漏洞位于EQNEDT32.EXE组件中,该组件于2001年编译嵌入office,之后没有任何进一步的修改。攻击者可以利用漏洞以当前登录的用户身份执行任意命令。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

虽然微软在11月发布了补丁,但是有相当一部分人没有这些安全意识,也有人认为打补丁有时候会导致蓝屏等问题发生,所以不更新windows的补丁,或者仅更新windows补丁而不更新其它Microsoft的产品的补丁。换句话说,大部分人装了office但是没有打上这个补丁,所以目前安全问题还是很严峻。

漏洞利用office的数学公式编辑器功能,涉及模块EQNEDT32.EXE;当插入或编辑公式时,它会以单独的进程启动,而不会以Office进程的子进程启动。由于该模块对公式的处理逻辑不严谨,给予攻击者可乘之机;攻击者通过构造特定的数据内容覆盖掉栈上的函数返回地址,从而改变函数的执行流程,执行任意的指令。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

咱们今天针对这个漏洞进行演示,还原整个攻击过程。

1.打开我们的kali(攻击机)并启动msf。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

2.加载office漏洞利用模块use+模块,至于这个模块在哪里,可以到msf的官方去下载相应的脚本。放到kali的msf利用模块的目录下就行。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

3.我们来配置一下攻击模块的参数。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

4. 可以看到我们的名为sp的Word文件已经在桌面生成。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

5.把这个文档发到我的其他一台电脑上(在此提醒大家不要随意打开来路不明的文件),并用office打开它。靶机是windows10安装了office2013。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

你的office补丁更新了吗?演示office漏洞11882攻击全过程

6.当受害者打开这个Word文档后,我们回到我们的kali,可以看到msf中的攻击会话已经建立成功,并且已经拿到了(session 1)

你的office补丁更新了吗?演示office漏洞11882攻击全过程

7.进一步拿到meterpreter,这样就简单了,我们可以看看被入侵的win10电脑的信息,正在运行的进程。还可以给正在使用电脑前的人截个图。还有许多令人窒息操作(留后门,创建新用户等)这里不再赘述。

你的office补丁更新了吗?演示office漏洞11882攻击全过程

整个攻击过程就是这样。大家可以结合上一次那个比特币勒索病毒想想,是不是很危险。再次提醒大家不要随意点击来路不明的文件。

历史证明,一旦PoC公布,漏洞通过专业的网络犯罪组织传播成为僵尸网络的速度很快。用户应立即更新微软在11月推出的KB2553204、KB3162047、KB4011276和KB4011262补丁以防止CVE-2017-11882遭黑客利用。

除了打补丁,还可以通过安装杀毒软件来防止这类事情的发生,如果设置好了,像360和电脑管家这些杀毒软件也可以是不流氓的,还可以选择像火绒安全软件那种比较良心的,或者直接用windows10自带的杀毒软件,也是很不错的。