CVE-2017-8570

Was?

Dieses Repository enthält einen Proof-of-Concept-Exploit für CVE-2017-8570, auch bekannt als die "Composite Moniker"-Sicherheitslücke. Es demonstriert die Verwendung des Packager.dll-Tricks, um eine sct-Datei in das %TEMP%-Verzeichnis zu legen und sie dann mit der von der Sicherheitslücke bereitgestellten Primitivität auszuführen.

Warum?

Ein paar Gründe.

1. Ich wollte sehen, ob es möglich ist, den Packager.dll Datei-Ablege-Trick zu nutzen, um diese Sicherheitslücke auszunutzen.
2. Soweit ich weiß, nutzen alle anderen öffentlichen Exploits für CVE-2017-8570 tatsächlich die "Script Moniker"-Variante von CVE-2017-0199 aus und sind keine echten Composite-Moniker-Exploits.
3. Das Bewusstsein für in freier Wildbahn verwendete Ausnutzungstechniken schärfen und Verteidigern helfen, Ausnutzungsversuche zu erkennen.

Wie man es ausführt

Führen Sie einfach das Skript aus und geben Sie eine SCT-Datei zur Ausführung sowie einen Ausgabename für Ihre RTF-Datei an:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Erkennung

Ich habe eine Yara-Regel beigefügt, um Versuche zur Ausnutzung dieser Sicherheitslücke über RTF zu erkennen.

Referenzen

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html