CVE-2017-11882漏洞分析与利用

（一次大作业，比较啰嗦 ，见谅）

1. 漏洞介绍

2017年11月14号，微软推送了常规的安全更新，其中就包括CVE-2017-11882的安全更新，当时还引起了不小的关注，之后Github上也公布了许多POC及对应的漏洞利用程序。

仅仅从CVE-2017-11882的漏洞利用效果来看，它可以通杀Office 2003到Office 2016的所有版本，并且整个攻击环境的构建非常简单，效果又非常的好。例如，有些攻击效果会出现弹框、CPU飙高、发生异常等等，而这个漏洞的利用效果，堪称“无色无味”，即整个过程几乎不会产生任何异常的情况。从时间上来看，这个漏洞曾经潜伏了17年之久，直到2017年才被发现并低调修复。

此漏洞是由Office软件里面的公式编辑器造成的，即EQNEDT32.EXE程序，这个程序运行的过程中，读入包含MathType的ole数据时，在拷贝公式字体名称时没有对名称长度进行校验，从而造成栈缓冲区溢出，是一个非常经典的栈溢出漏洞，攻击者通过构造特殊的字符，可以实现任意代码执行。真实操作环境中，如果黑客利用这个漏洞，构造带有shell后门的office文件，当普通用户打开这个office文件是，电脑就可以被黑客直接控制。

1. 漏洞复现
   1. 环境和工具

我参考了许多的关于CVE-2017-11882的分析教程，选择了其中过程相对更详细的一个，使自己的环境和他的分析环境基本一样，仅仅是系统使用了64位，而不是教程作者所用的32位。最终漏洞复现过程的环境和使用的工具为：

• 操作系统：Window 7 专业版（64 位）
• office软件：office 2003 sp3 完整版
• 工具软件：VMware，软碟通，git
  1. 复现过程
     1. 环境准备

系统方面，下载windows7专业版镜像文件，使用VMware软件，安装windows 7专业版虚拟机，由于我从睿思下载的镜像是GHO文件，虚拟机安装过程与一版情况不太一样，相对更繁琐一些，把具体参考教程附在文档末尾参考教程中。

文件传输方面，我在本机上开启ftp服务，以方便向虚拟机传输必要的文件，ftp服务的设置过程也附在文档末尾参考教程中。

Office软件方面，下载office2003完整版，通过ftp传给装好的虚拟机，下载安装过程中一定要注意以下几点：

1. 软件包大小，网上轻松找到的100-200M的软件包大多是office2003的精简版，安装之后有可能会找不到公式编辑软件，真实的完整版软件包大概500M左右。
2. 软件版本，下载时要注意，软件包的版本一定要是sp3，否者可能漏洞已经修复或者不存在（我自己没有试过，来自于一个漏洞分析教程的意见）。
3. 完整安装，在下载好软件包安装软件的过程中，有自定义安装的选项，这里必须选择完整安装，否者之后步骤中将找不到需要的公式编辑软件。
   1. 1. 漏洞复现

安装好系统和office软件之后，就可以下载CVE-2017-11882漏洞复现文件到ftp共享文件夹了。关于漏洞父复现文件Github上的例子很多，如图2-1所示，我随便使用了其中一个,即：https://github.com/embedi/CVE-2017-11882。

图2- 1 GitHub搜索结果

推荐使用git命令行下载，不推荐网站下载zip文件，因为会被windows安全中心拦截，当然可以选择关闭windows安全中心后再下载zip包。Git命令行下载的过程如图2-2所示，图中object文件夹是我ftp共享的文件夹。

图2- 2 git下载文件过程

下载好之后，提取example文件夹下的exploit.rtf文件，如图2-3所示，双击打开文件，教程显示，会直接弹出计算机，漏洞复现验证成功，但是我这里需要打开文件之后，再双击“111”公式，才会触发打开计算器，实现漏洞复现，结果如图2-4所示。

图2- 3 POC文件位置

图2- 4 漏洞复现

1. 漏洞分析

这部分我的想法是，以弹出计器的过程为例子，来分析是如何实现打开计算器这个功能的，刚开始看了很多网上的教程，也踩了很多的坑，绕了很大的圈才终于实现了一个完整的过程。

所谓的完整过程就是，假设个人完