Office

Mimecast Threat Center发现并开发了一种攻击技术,可以利用Microsoft Excel中的Power Query功能动态启动针对Excel电子表格的远程DDE(Dynamic Data Exchange)攻击,主动控制利用Power Query的payload。
本文是对我在Bluehat Shanghai 2019演讲内容的一个拓展性总结。在本文中,我将总结2010年到2018年出现的Office相关0day/1day漏洞。我将对每种类型的漏洞做一次梳理,并对每个漏洞的相关分析文章进行引用和归类。
孙子曰:“兵者,国之大事,死生之地,存亡之道,不可不察也。”尽管处于和平年代,网络世界却硝烟弥漫。
本文系作者此前研究office文件格式解析及漏洞挖掘和分析时梳理的部分基础知识,文章部分内容可能会借鉴他人成果,由于时间久远所以无法一一考证。本文仅限于初学者作为参考,如有笔误,请见谅。
开发者可以使用Office加载项平台来扩展Office应用功能、与文档内容进行交互。加载项使用HTML、CSS以及JavaScript语言开发,使用JavaScript与Office平台交互。所有的Office产品中都包含对应的API,但本文主要关注的是Outlook这款产品。
近日截获一个扩展名为doc的word文档攻击样本,其格式其实是RTF格式。通过分析该文档组合利用了cve-2017-11882和cve-2018-0802漏洞,并且使用内嵌的excel对象用于触发漏洞。释放的PE文件用于搜集目标用户的敏感信息。
前一段时间,Fortinet的FortiGuard实验室研究员Yonghui Han向微软报告了Office Outlook中存在的一个堆溢出漏洞。12月11日微软宣布该漏洞已被修补,并发布了漏洞通告,该漏洞的CVE编号为CVE-2018-8587。
最近一段时间,微软的Office产品已经成为滋养新型攻击方法的沃土,从相对比较简单的数据注入方法(如DDE注入以及CSV注入)到更加复杂的基于嵌入公式对象的攻击技术,不一而足。
Office XML(.xml)文档可以通过SMB调用远程XSL样式表。如果远程XSL样式表位于攻击者控制的服务器,则可获取被攻击用户的net-NTLM身份验证哈希值(质询/响应消息)。
在针对乌克兰的攻击活动中FireEye发现了FELIXROOT后门这款恶意载荷,并将其反馈给我们的情报感知客户。该攻击活动使用了一些恶意的乌克兰银行文档,其中包含一个宏,用来下载FELIXROOT载荷并将其投递给攻击目标。