2023HVV期间曝出的WPS Office 存在RCE漏洞,攻击者可通过该漏洞执行任意命令,获取服务器控制权限。
漏洞说明:
wps office 允许加载远程WebExtension 。插件采用跨平台的Web技术(如HTML,CSS和JavaScript)开发,可以在不同的平台和设备上运行。
攻击者购买域名****wps.cn后,解析为clientweb.docer.wps.cn.****wps.cn。
然后在构造的docx文档下的WebExtension.xml。解析为加载远程的clientweb.docer.wps.cn.****wps.cn。
在受害者点击相关的docx文档后,触发加载远程恶意ip的html文件。而html文件里面又包含有相关的shellcode,从而触发远程代码执行。网上大部分是演示为弹出本地计算器。
漏洞利用过程可以衍生为,
1.购买域名,架设服务器端cs监听,开启web服务,更改clac相关shellcode为cs上线shellcode。
2.创建含有WebExtension.xml解析为攻击端构造的域名的docx文档。
3.诱导受害者触发docx文档。
实现shellcode和文档分离的免杀上线思路。该漏洞影响的wpsoffice版本为:
- WPS Office 2023个人版 < 11.1.0.15120
- WPS Office 2019企业版 < 11.8.2.12085
作者猜测可能与wps以上版本的内部的远程WebExtension功能未开启过滤有关。如果某个软件也存在类似具有加载远程功能的拓展插件、功能、超链接等,是否可以引申出相关的RCE问题。
第一次发表此类文章,刚学完相关的服务攻防,后续学到免杀类章节会丰富自己的思路,请大家多多支持吧。
师从小迪