CVE-2017-8570 — Proof-of-concept exploit for CVE-2017-8570 (Composite Moniker) using Packager.dll file-dropping technique to execute arbitrary SCT payloads via crafted RTF documents. Includes YARA detection rule. | Kitploit

CVE-2017-8570 — Proof-of-concept exploit for CVE-2017-8570 (Composite Moniker) using Packager.dll file-dropping technique to execute arbitrary SCT payloads via crafted RTF documents. Includes YARA detection rule. | Kitploit

这是什么？

本仓库包含CVE-2017-8570（又名“Composite Moniker”漏洞）的概念验证利用代码。它演示了如何使用Packager.dll技巧将sct文件放入%TEMP%目录，然后利用该漏洞提供的原始基元执行它。

为什么？

有几个原因。

我想看看是否可以使用Packager.dll文件丢弃技巧来利用这个漏洞。
据我所知，CVE-2017-8570的所有其他公开利用实际上都在利用CVE-2017-0199的“Script Moniker”变体，而不是真正的复合moniker利用。
提高对野外利用技术的认识，并帮助防御者检测利用尝试。

如何运行

只需运行脚本，提供要执行的Sct文件和RTF文件的输出名称：

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF文件已写入：example.rtf

检测

我包含了一条Yara规则，用于检测通过RTF尝试利用此漏洞的行为。

参考

https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570