CVE-2017-8570

무엇?

이 저장소는 'Composite Moniker' 취약점으로 알려진 CVE-2017-8570에 대한 개념 증명(Proof of Concept) 익스플로잇을 포함합니다. Packager.dll 트릭을 사용하여 sct 파일을 %TEMP% 디렉토리에 드롭한 다음, 취약점이 제공하는 기본 요소(primitive)를 사용하여 실행하는 방법을 보여줍니다.

왜?

몇 가지 이유가 있습니다.

1. Packager.dll 파일 드롭 트릭을 사용하여 이 취약점을 악용할 수 있는지 확인하고 싶었습니다.
2. 제가 아는 한, CVE-2017-8570에 대한 다른 모든 공개 익스플로잇은 실제로 CVE-2017-0199의 "Script Moniker" 변종을 악용하고 있으며 실제로 composite moniker 익스플로잇이 아닙니다.
3. 실제 환경에서 사용되는 악용 기법에 대한 인식을 높이고, 방어자가 악용 시도를 탐지할 수 있도록 돕습니다.

실행 방법

스크립트를 실행하기만 하면 됩니다. 실행할 Sct 파일과 RTF 파일의 출력 이름을 제공하십시오:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

탐지

RTF를 통해 이 취약점을 악용하려는 시도를 탐지하기 위해 Yara 규칙을 포함했습니다.

참고 자료

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570