声明
出品|且听安全(ID: QCyber)
以下内容，来自且听安全公众号的作者原创，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，长白山攻防实验室以及文章作者不承担任何责任。
漏洞概述
2021年9月8日，微软发布安全通告，披露了Microsoft MSHTML远程代码执行漏洞，攻击者可通过制作恶意的ActiveX控件供托管浏览器呈现引擎的 Microsoft Office文档使用，成功诱导用户打开恶意文档后，可在目标系统上以该用户权限执行任意代码。
CVE-2021-40444
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444
完整的攻击流程借用了微软分析文章里面的图：
Microsoft Security Blog
https://www.microsoft.com/security/blog/2021/09/15/analyzing-attacks-that-exploit-the-mshtml-cve-2021-40444-vulnerability/
快速样本分析
在恶意样本在线查询网站下载到样本
938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52.zip
样本的MD5值为：
1d2094ce85d66878ee079185e2761beb。可以看到该样本早在9月2号就被该网站收录了。
注意该网站的样本解压密码为：
infected解压后可以得到一个docx文件
熟悉的小伙伴都知道，docx文件其实就是一个zip压缩包，使用7zip等解压软件能够轻松将其解压出来：
通过简单浏览，很快就能发现一个可疑的文件：
word\_rels\document.xml.rels，其中有个可疑的下载链接：
尝试去下载该side.html文件，发现服务器无法访问了，经验证h****.com这个域名已经失效：
尝试通过网络搜索该域名信息，可以找到域名对应的真实IP2：3.106.***.***
抱着试试看的心情，用该IP来尝试下载，居然成功下载到可疑的html页面:
那就接着看一个这个神秘的html文件，发现文件中有一段更神秘的javascript代码：
简单浏览side.html里面的javascript代码，又发现了一个可疑的下载链接http://hi***.com/e8c76295a5f9acb7/ministry.cab：
javascript代码明显是经过某种混淆后的结果，幸好代码不算复杂，我们通过vscode的js插件先将代码整理一下，最终通过手动分析和去混淆后可以得到如下的代码：
这段代码功能大概就是先利用XMLHttpRequest对象下载ministry.cab文件（这个地方可能是多余的，后面ActiveX也能实现下载），然后利用ActiveX控件自动从网络下载安装ministry.cab。
最后利用Control Panel objects （.cpl）来执行championship.inf文件（该文件暂时不知道从哪里来的），直接通过IP地址将ministry.cab下载回来：
接着分析这个ministry.cab文件，可以看到确实是微软的cab文件，尝试用cabextract解压发生错误（起初以为文件被破坏了，后来才知道这个异常却是漏洞利用的关键）：
不过该cab文件中确实有champion-ship.inf这个文件，这就与javascript代码对上了。
这样整个样本的快速分析基本就到这里了，这里再理一下样本的利用思路：
发送恶意docx文件给用户点开
docx文件利用OleObject对象实现下载并解析side.html
side.html利用ActiveX控件实现下载ministry.cab，并释放championship.inf文件
最后利用Control Panel objects （.cpl）来执行championship.inf文件
好了，样本分析就到这里了，下一篇我们将进行漏洞复现和漏洞分析。关注我，不迷路！
参考
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444
https://www.microsoft.com/security/blog/2021/09/15/analyzing-attacks-that-exploit-the-mshtml-cve-2021-40444-vulnerability/
