CVE-2017-8570

这是什么？

此仓库包含CVE-2017-8570（又名“Composite Moniker”漏洞）的概念验证利用。它演示了如何使用Packager.dll技巧将sct文件放入%TEMP%目录，然后利用该漏洞提供的原语执行它。

为什么？

有几个原因。

1. 我想看看是否有可能使用Packager.dll文件丢弃技巧来利用此漏洞。
2. 据我所知，所有其他公开的CVE-2017-8570漏洞利用实际上都是在利用CVE-2017-0199的“Script Moniker”变体，而不是真正的composite moniker利用。
3. 提高对野外使用的利用技术的认识，并帮助防御者检测利用尝试。

如何运行

只需运行该脚本，提供要执行的Sct文件以及RTF文件的输出名称：

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

检测

我已包含一条Yara规则，用于检测通过RTF利用此漏洞的尝试。

参考

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570