绕过Office“保护视图”进行钓鱼攻击的新姿势

根据我的个人经验，一般来说最终用户不太可能退出受保护的视图，他们一般不会点击Office对话框。我相信这样的原因是因为他们可以在保护视图中访问文档的内容，这是他们真正需要的。发起钓鱼攻击时，减少用户的点击次数总是有帮助的。受保护视图需要再次点击; 如果我们可以摆脱它，我们的攻击效果将会非常好。

全面披露：2017年4月20日向MSRC报告了这一问题，所有这些都被认为不是安全问题。他们认为这是正常功能，而不是bug。

在了解这些技术之前，先了解正常的行为很重要。攻击者经常使用一些技巧来在目标系统上执行恶意代码。这通常会通过DDE从Office宏，OLE对象和Excel公式注入。如果我们通过OLE将LNK嵌入到Excel文档中，我们将会在本地看到这样的界面：

现在，如果我们将上述文档托管在我们的web服务器上，并直接打开，则保护视图将被激活，并且嵌入的OLE对象将无法通过双击激活，直到你手动退出保护视图：

当从互联网直接打开进入文档时应该怎么办？应该阻止诸如OLE，ActiveX和DDE之类的东西，直到你点击“启用编辑”为止。

现在我们知道什么是正常的保护视图行为了，我们可以围绕它进行一些方面的探讨。我想要说明的第一个事情是通过OLE从发布者文件进行执行。像Word和Excel一样，Microsoft Publisher通常附带在Microsoft Office中，并且包括类似的功能，例如OLE嵌入。攻击者经常使用通过OLE嵌入的LNK文件，所以我们将在这个例子中做同样的事情。发布者提供了许多功能来使OLE对象吸引用户。为了简单起见，我不会对这些功能进行详细说明。

对于这个例子，我们将使用一个简单的文件执行：“C:WindowsSystem32cmd.exe /c calc.exe”的LNK有效载荷。我不会在发布者中嵌入OLE，因为它几乎与其他Office格式是一样的。如果我们将使用了OLE嵌入的LNK的 Publisher文件托管在我们的服务器上并直接打开，你将注意到Protected View不会被激活。点击OLE对象会向用户显示1个提示，如下图所示：

点击“打开”将导致LNK执行：

你可以看到，双击OLE对象导致LNK被执行了（在“打开文件”提示之后）。通常，受保护的视图将阻止OLE对象被激活，直到用户明确的退出了它。

接下来，我们在OneNote中进行测试。OneNote允许将文件附加到笔记文件。连接到OneNote时，LNK文件看起来有点奇怪，所以我们将使用VBScript。对于这个例子，这个VBScript文件将通过WScript.Shell COM对象的Run方法执行calc.exe。为了简单起见，我不会修饰这个文件来诱骗用户。

如果我们将使用了附带的VBScript文件的OneNote文件（.ONE）托管在我们的服务器上并直接打开，你会注意到Protected View也不会激活。用户将会看到一个对话框：

单击“确定”之后，将导致VBScript代码的执行：

到目前为止，我们发现发布者文件和OneNote文件不会触发受保护的视图，但允许OLE嵌入或类似的东西。最后还有Excel Symbolic Link文件。此文件格式有些限制会影响它可以托管的内容。在我的测试中，SLK文件将在保存时剥离OLE对象和任何现有的宏。幸运的是，我还可以通过DDE的Excel Formula Injection进行攻击。如果你不了解这种技术，你可以在这里阅读更多信息。

通常，受保护的视图将阻止自动更新单元格，这会在受保护的视图中使这种攻击无效。如果我们添加恶意公式并将其保存为符号链接（.SLK）文件，我们就可以绕过受保护视图进行攻击。

在这个例子中，Excel公式将是这样的：

=cmd|‘ /C calc’!A0

有一点比较重要的事情要注意一下，DDE注入攻击确实给用户带来了2个安全警告。在DDE外的Excel SLK中可能还有其他功能，不会提示2个安全对话框哦…我鼓励你使用你的想象力。

如果我们将文件保存为普通的Excel文件，你将注意到“受保护的视图”会阻止 自动“启用”提示，并要求用户先退出受保护的视图：

现在，如果将文件保存为.SLK并托管在我们的服务器上并直接打开，你将注意到Protected View未被激活，并且自动的给用户显示“Enable，Disable”的提示。

单击“启用”将向用户显示以下对话框。我不会告诉你，一般来说用户喜欢在此提示符上单击“是”。

单击“是”之后，将导致恶意命令的执行：

当进行.SLK攻击，用户出现了2个提示时，用户通常不太可能退出Protected View，也不会单击显示的提示。从红军攻击的角度来看，保护视图的任何方式都值得插入攻击有效载荷。

预防措施：我目前不知道有没有办法可以手动将Publisher，OneNote和.SLK文件注册到受保护的视图中。推荐企业给用户进行安全意识培训。如果你的最终用户不使用OneNote和Publisher，那么还有一个解决方案就是卸载掉这些功能。