CVE-2017-8570

출처: https://www.exploit-db.com/exploits/44263/

사용 방법: python packager_composite_moniker.py -s calc.sct -o example.rtf

무엇?

이 저장소는 CVE-2017-8570, 일명 "Composite Moniker" 취약점에 대한 개념 증명(PoC) 익스플로잇을 포함합니다. Packager.dll 트릭을 사용하여 sct 파일을 %TEMP% 디렉토리에 드롭한 후, 취약점이 제공하는 원시 동작(primitive)을 이용해 실행하는 방법을 보여줍니다.

이유?

몇 가지 이유가 있습니다.

1. Packager.dll 파일 드롭 트릭을 사용하여 이 취약점을 익스플로잇할 수 있는지 확인해보고 싶었습니다.
2. 내가 알기로, CVE-2017-8570에 대한 다른 모든 공개 익스플로잇은 실제로 CVE-2017-0199의 "Script Moniker" 변종을 익스플로잇하는 것이며, 실제 Composite Moniker 익스플로잇이 아닙니다.
3. 실제 환경에서 사용되는 익스플로잇 기술에 대한 인식을 높이고, 방어자가 익스플로잇 시도를 탐지할 수 있도록 돕습니다.

실행 방법

스크립트를 실행하기만 하면 됩니다. 실행할 Sct 파일과 RTF 파일의 출력 이름을 제공하세요.

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

탐지

이 취약점을 RTF를 통해 익스플로잇하려는 시도를 탐지하기 위해 Yara 규칙을 포함했습니다.

참고 자료

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570