CVE-2017-8570

来源：https://www.exploit-db.com/exploits/44263/

使用方法：python packager_composite_moniker.py -s calc.sct -o example.rtf

这是什么？

本仓库包含针对 CVE-2017-8570（即“Composite Moniker”漏洞）的概念验证利用代码。它演示了如何利用 Packager.dll 技巧将一个 sct 文件放入 %TEMP% 目录，然后利用该漏洞提供的基本功能来执行它。

为什么？

有几个原因。

1. 我想看看是否可能使用 Packager.dll 文件投放技巧 来利用此漏洞。
2. 据我所知，所有其他公开的 CVE-2017-8570 利用代码实际上都在利用 CVE-2017-0199 的“Script Moniker”变体，而不是真正的 Composite Moniker 利用。
3. 提高对野外利用技术的认识，并帮助防御者检测利用尝试。

如何运行

只需运行脚本，提供要执行的 Sct 文件和输出的 RTF 文件名：

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF 文件已写入: example.rtf

检测

我包含了一个 Yara 规则，用于检测通过 RTF 利用此漏洞的尝试。

参考

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570