关于对2023HW wps rce 引发的免杀思路构想

2023HVV期间曝出的WPS Office 存在RCE漏洞，攻击者可通过该漏洞执行任意命令，获取服务器控制权限。

漏洞说明：

wps office 允许加载远程WebExtension 。插件采用跨平台的Web技术(如HTML,CSS和JavaScript)开发，可以在不同的平台和设备上运行。

攻击者购买域名****wps.cn后，解析为clientweb.docer.wps.cn.****wps.cn。

然后在构造的docx文档下的WebExtension.xml。解析为加载远程的clientweb.docer.wps.cn.****wps.cn。

在受害者点击相关的docx文档后，触发加载远程恶意ip的html文件。而html文件里面又包含有相关的shellcode，从而触发远程代码执行。网上大部分是演示为弹出本地计算器。

漏洞利用过程可以衍生为，

1.购买域名，架设服务器端cs监听，开启web服务，更改clac相关shellcode为cs上线shellcode。

2.创建含有WebExtension.xml解析为攻击端构造的域名的docx文档。

3.诱导受害者触发docx文档。

实现shellcode和文档分离的免杀上线思路。该漏洞影响的wpsoffice版本为：

• WPS Office 2023个人版 < 11.1.0.15120
• WPS Office 2019企业版 < 11.8.2.12085

作者猜测可能与wps以上版本的内部的远程WebExtension功能未开启过滤有关。如果某个软件也存在类似具有加载远程功能的拓展插件、功能、超链接等，是否可以引申出相关的RCE问题。

第一次发表此类文章，刚学完相关的服务攻防，后续学到免杀类章节会丰富自己的思路，请大家多多支持吧。

师从小迪