CVE-2017-8570

O quê?

Este repositório contém um exploit de Prova de Conceito para o CVE-2017-8570, também conhecida como a vulnerabilidade "Composite Moniker". Isso demonstra o uso do truque do Packager.dll para colocar um arquivo sct no diretório %TEMP% e, em seguida, executá-lo usando a primitiva que a vulnerabilidade fornece.

Por quê?

Algumas razões.

1. Queria ver se era possível usar o truque de despejo de arquivos do Packager.dll para explorar esta vulnerabilidade.
2. Até onde sei, todos os outros exploits públicos para o CVE-2017-8570 na verdade exploram a variante "Script Moniker" do CVE-2017-0199 e não são realmente exploits de composite moniker.
3. Aumentar a conscientização sobre as técnicas de exploração usadas em ataques reais e ajudar os defensores a detectar tentativas de exploração.

Como executar

Basta executar o script, fornecendo um arquivo Sct para executar e um nome de saída para o seu arquivo RTF:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Detecção

Incluí uma regra Yara para detectar tentativas de explorar esta vulnerabilidade via RTF.

Referências

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html