Microsoft Office DLL Hijacking (MS15-132) 利用介绍

前一阵小歪发了这个漏洞，，但是没发利用方式，其实我也不知道利用方式，现在把利用方式发一下吧。

from:http://zone.wooyun.org/content/24877

受影响系统：
Microsoft Windows Vista SP2
Microsoft Windows Server 2008 SP2
Microsoft Windows Server 2008 R2 SP1
Microsoft Windows 8.1
Microsoft Windows 8
Microsoft Windows 7 SP1
测试环境
win7 x86
Microsoft Office 2010
实际测试

1、poc地址
https://www.exploit-db.com/exploits/38968/

2、poc文件
如图

3、打开planted.doc
如图

4、双击foo.txt图标
如图

报错
解决方法
直接给出错误原因及解决方法
1、错误原因
elsext.dll是用vs2013编译的，在项目属性中有一项MFC的使用，有如下三种设置：
1.使用标准Windows库
2.在共享DLL中使用MFC
3.在静态库中使用MFC
第一种顾名思义
第二种指的是打包时一些MFC的DLL的内容没有被包含在EXE文件中，所以EXE文件较小，但是运行时要求系统中要有相关的DLL文件。如果程序直接移到一个没有安装过MFC的机器上时，可能会导致找不到MFC的DLL。
第三种是将DLL中的相关代码写进EXE文件中，文件较大，但是可以在没有相关DLL的机器上运行。

而出错的原因就是poc的dll是用第二种方式即“在共享DLL中使用MFC”编译的，所以缺少了相关的dll文件msvcr120.dll，因此报错
2、解决方法
根据以上判断不难得出两种解决方法
（1）在同目录加入msvcr120.dll
到网上下载msvcr120.dll，然后放于同一目录，再次测试
如图

成功

（2）重新编译dll
逆向poc中的dll发现内容很简单，就是最普通的dll
所以我们仅仅需要在vc6新建一个工程，选择Win32 Dynamic-Link Library-A DLL that exports some symbols,然后在case DLL_PROCESS_ATTACH:后面加入自己的代码即可，如图

将生成的dll命名为elsext.dll即可
如图

不需要msvcr120.dll也能执行成功
进一步利用
对于word来说，需要点击foo.txt这个图标 才可以触发，那么有没有自动触发的方式呢？
当然有 ：D
1、新建一个word文档
2、将poc word里的图标复制到word 文档中
3、将word 文档保存为rtf格式
4、打开rtf文件即可
如图

结合浏览器利用
参考如下链接：
https://www.nccgroup.trust/uk/about-us/newsroom-and-events/blogs/2016/january/remote-exploitation-of-microsoft-office-dll-hijacking-ms15-132-via-browsers/
简单的理解就是想办法使用户下载elsext.dll，然后再下载有漏洞的rtf文档并打开，即可触发漏洞

本文始发于微信公众号（关注安全技术）：Microsoft Office DLL Hijacking (MS15-132) 利用介绍