WPS2010版本DLL劫持漏洞复现(plgpf.dll)

Aimerl0
• 阅读 1244

WPS Office plgpf.dll DLL劫持漏洞

原理简单说就是 exe 文件寻找 DLL 库会优先在当前目录下寻找,若 DLL 库未经过校验或者寻找 DLL 路径不是绝对路径,容易导致 DLL 被本地攻击者劫持

漏洞描述

  • CVE 编号:CVE - 2010 - 5208

  • WPS office 套件应用程序在加载外部库 (DLL) 时通过了一个不合格的路径,本地攻击者可利用该漏洞通过当前目录 (如包含 .xlsppt.rtf.doc文件的目录)下的自编译恶意 DLL 库 (plgpf.dll) 获取特权

复现环境

  • windows 7
  • WPS 2010 版本为 2010_6.6.0.2477
  • IDA
  • process monitor

影响版本

  • 2010_6.6.0.2477 或更低版本

漏洞分析

  • DLLMain 函数入口反编译,fdwReason参数等于 1 时,即为DLL_PROCESS_ATTACH,表示程序开始调用 DLL 里的函数,进入恶意函数HijackThis

WPS2010版本DLL劫持漏洞复现(plgpf.dll)

  • HijackThis函数,调用GetModuleFileNameA函数获取当前程序绝对路径字符串和MessageBoxA函数弹出对话框,最后调用WinExec打开一个计算器.exe

WPS2010版本DLL劫持漏洞复现(plgpf.dll)

利用

  • 可以更改打开计算器为反弹 shell 的命令,结合钓鱼手段,在红蓝对抗中实现远控
  • 编写恶意代码导致程序、系统崩溃
点赞
收藏
评论区
推荐文章
blmius blmius
2年前
MySQL:[Err] 1292 - Incorrect datetime value: ‘0000-00-00 00:00:00‘ for column ‘CREATE_TIME‘ at row 1
文章目录问题用navicat导入数据时,报错:原因这是因为当前的MySQL不支持datetime为0的情况。解决修改sql\mode:sql\mode:SQLMode定义了MySQL应支持的SQL语法、数据校验等,这样可以更容易地在不同的环境中使用MySQL。全局s
Jacquelyn38 Jacquelyn38
2年前
2020年前端实用代码段,为你的工作保驾护航
有空的时候,自己总结了几个代码段,在开发中也经常使用,谢谢。1、使用解构获取json数据let jsonData  id: 1,status: "OK",data: 'a', 'b';let  id, status, data: number   jsonData;console.log(id, status, number )
皕杰报表之UUID
​在我们用皕杰报表工具设计填报报表时,如何在新增行里自动增加id呢?能新增整数排序id吗?目前可以在新增行里自动增加id,但只能用uuid函数增加UUID编码,不能新增整数排序id。uuid函数说明:获取一个UUID,可以在填报表中用来创建数据ID语法:uuid()或uuid(sep)参数说明:sep布尔值,生成的uuid中是否包含分隔符'',缺省为
Stella981 Stella981
2年前
Apache服务器的配置——httpd.conf
1、配置根目录DocumentRoot"C:/www/apache2/htdocs"2、配置访问的路径 ServerName127.0.0.13、加载PHP54的模块LoadModulephp5\_module"c:/www/php54/php5apache2\_2.dll"4、设置解析php文件等 AddTypeap
Stella981 Stella981
2年前
KVM调整cpu和内存
一.修改kvm虚拟机的配置1、virsheditcentos7找到“memory”和“vcpu”标签,将<namecentos7</name<uuid2220a6d1a36a4fbb8523e078b3dfe795</uuid
Easter79 Easter79
2年前
Twitter的分布式自增ID算法snowflake (Java版)
概述分布式系统中,有一些需要使用全局唯一ID的场景,这种时候为了防止ID冲突可以使用36位的UUID,但是UUID有一些缺点,首先他相对比较长,另外UUID一般是无序的。有些时候我们希望能使用一种简单一些的ID,并且希望ID能够按照时间有序生成。而twitter的snowflake解决了这种需求,最初Twitter把存储系统从MySQL迁移
Stella981 Stella981
2年前
Django中Admin中的一些参数配置
设置在列表中显示的字段,id为django模型默认的主键list_display('id','name','sex','profession','email','qq','phone','status','create_time')设置在列表可编辑字段list_editable
Stella981 Stella981
2年前
Nginx反向代理upstream模块介绍
!(https://oscimg.oschina.net/oscnet/1e67c46e359a4d6c8f36b590a372961f.gif)!(https://oscimg.oschina.net/oscnet/819eda5e7de54c23b54b04cfc00d3206.jpg)1.Nginx反
Wesley13 Wesley13
2年前
MySQL部分从库上面因为大量的临时表tmp_table造成慢查询
背景描述Time:20190124T00:08:14.70572408:00User@Host:@Id:Schema:sentrymetaLast_errno:0Killed:0Query_time:0.315758Lock_
Python进阶者 Python进阶者
1个月前
Excel中这日期老是出来00:00:00,怎么用Pandas把这个去除
大家好,我是皮皮。一、前言前几天在Python白银交流群【上海新年人】问了一个Pandas数据筛选的问题。问题如下:这日期老是出来00:00:00,怎么把这个去除。二、实现过程后来【论草莓如何成为冻干莓】给了一个思路和代码如下:pd.toexcel之前把这