0x00 背景介绍
在高级威胁攻击中，黑客远程投递入侵客户端最喜欢的漏洞是office文档漏洞，就在刚刚结束的黑帽子大会上，最佳客户端安全漏洞奖颁给了CVE-2017-0199漏洞，这个漏洞是时下office漏洞领域最热门的安全漏洞，最佳客户端安全漏洞这个荣誉归于Ryan Hanson、Haifei li、Bing Sun以及未知的黑客。
CVE-2017-0199是Office系列办公软件中的一个逻辑漏洞，和常规的内存破坏型漏洞不同，这类漏洞无需复杂的利用手法，直接就可以在office文档中运行任意的恶意脚本，使用起来稳定可靠。微软在今年4月安全更新中对CVE-2017-0199漏洞进行了修复，但安全补丁的修复及防御仍然可以绕过，在7月微软的安全更新中又修复了同样类型的新漏洞CVE-2017-8570。在Syscan360 2017西雅图安全会议上，Haifei li和Bing Sun的议题《Moniker魔法：直接在Microsoft Office中运行脚本》详细解析了这类漏洞的原理，本文就不再赘述，下面开始着重分析这些漏洞的在野利用情况。
0x01 漏洞概述
CVE-2017-0199和CVE-2017-8570是Office系列办公软件中的逻辑漏洞，和常规的内存破坏型漏洞不同，这类漏洞无需复杂的利用手法，直接就可以在office文档中运行任意的恶意脚本，使用起来稳定可靠。
CVE-2017-0199漏洞利用OFFICE OLE对象链接技术，将包裹的恶意链接对象嵌在文档中，OFFICE调用URL Moniker（COM对象）将恶意链接指向的HTA文件下载到本地， URL Moniker通过识别响应头中content-type的字段信息最后调用mshta.exe将下载到的HTA文件执行起来，同时还存在Script Moniker的利用方式，攻击者使用PowerPoint播放动画期间会激活该对象，从而执行sct脚本（Windows Script Component）文件。
CVE-2017-8570漏洞是利用复合Moniker绕过了CVE-2017-0199的补丁针对Script Moniker和URL Moniker相关classid的拦截，目前野外暂未发现攻击样本。
0x02 漏洞攻击面影响
CVE-2017-0199
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
CVE-2017-8570
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 RT Service Pack 1
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
0x03 漏洞详情
野外利用的第一个RTF版本
CVE-2017-0199漏洞在第一次被公开时，野外最早利用的样本是以word文档的形成进行传播利用，由于office文档后缀关联的宽松解析特性，更改其他文档后缀名，攻击仍然可以成功，所以野外利用的大部分恶意文档的真实文件格式是RTF格式，但恶意文档的后缀名却是 doc 、docx等后缀，该攻击具有较强的伪装欺骗特性。在野外利用样本文件格式中有一个关键字段objupdate，这个字段的作用是自动更新对象，当受害者打开office文档时就会加载远程URL的对象，对远程服务器触发一个HTTP请求，恶意服务器会对针对客户端的http请求强制返回Content-type为application/hta响应，最终客户端office进程会将远程的文件下载当作hta脚本运行，整个攻击过程稳定且不需要受害者的任何交互操作。
野外利用的第二个PPSX版本
由于RTF版本的漏洞利用大量使用，各家安全软件检出率也都比较高，攻击者开始转向另外一种office文档格式进行攻击，攻击者发现ppsx格式的幻灯片文档也可以无交互触发漏洞，该利用方式的原理是利用幻灯片的动画事件，当幻灯片的一些预定义事件触发时可以自动触发导致漏洞利用。
如下图，一个流行的攻击样本中嵌入的恶意动画事件：
