CVE-2017-8570

¿Qué?

Este repositorio contiene un exploit de prueba de concepto para CVE-2017-8570, también conocida como la vulnerabilidad "Composite Moniker". Esto demuestra el uso del truco de Packager.dll para colocar un archivo sct en el directorio %TEMP% y luego ejecutarlo usando la primitiva que proporciona la vulnerabilidad.

¿Por qué?

Algunas razones.

1. Quería ver si era posible usar el truco de colocación de archivos de Packager.dll para explotar esta vulnerabilidad.
2. Hasta donde sé, todos los demás exploits públicos para CVE-2017-8570 en realidad están explotando la variante "Script Moniker" de CVE-2017-0199 y no son exploits de composite moniker.
3. Concienciar sobre las técnicas de explotación utilizadas en el entorno real y ayudar a los defensores a detectar intentos de explotación.

Cómo ejecutar

Simplemente ejecute el script, proporcionando un archivo Sct para ejecutar y un nombre de salida para su archivo RTF:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Detección

He incluido una regla Yara para detectar intentos de explotar esta vulnerabilidad a través de RTF.

Referencias

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html