CVE-2017-8570

무엇인가?

이 저장소는 CVE-2017-8570("Composite Moniker" 취약점)에 대한 개념 증명 익스플로잇을 포함하고 있습니다. Packager.dll 트릭을 사용하여 %TEMP% 디렉터리에 sct 파일을 드롭한 후, 취약점이 제공하는 프리미티브를 이용해 실행하는 방법을 설명합니다.

이유

몇 가지 이유가 있습니다.

1. 이 취약점을 악용하기 위해 Packager.dll 파일 드롭 트릭을 사용할 수 있는지 확인하고 싶었습니다.
2. 제가 아는 한, CVE-2017-8570에 대한 다른 모든 공개 익스플로잇은 실제로 CVE-2017-0199의 "Script Moniker" 변종을 악용하고 있으며, 실제 Composite Moniker 익스플로잇이 아닙니다.
3. 실제 환경에서 사용되는 악용 기술에 대한 인식을 높이고, 방어자가 악용 시도를 탐지할 수 있도록 돕습니다.

실행 방법

스크립트를 실행할 때, 실행할 Sct 파일과 RTF 파일의 출력 이름을 제공하면 됩니다:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

탐지

RTF를 통해 이 취약점을 악용하려는 시도를 탐지하기 위한 Yara 규칙을 포함했습니다.

참고자료

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570