Анализ .rtf (cve-2017-11882)

20.03.2018, 01:34

killanas

Новичок

Регистрация: 14.09.2015

Сообщений: 27

Провел на форуме:
6236

Репутация: 0

md5: d65c1c15a30c58043c3c0246f2e39510

Не могу достать пейлоад.

Подтупливаю.

Попробовал достать с помощью ole-tools'в - не алё.

В сети внятного объяснения, как получить из rtf-файла ole-объект не нашел.

Так понимаю, если смотреть руками, то объект:

Цитата:

Сообщение от None

\object \objemb \objupdate {\*\objdata {\*\par242 0}{\*\par112 1}{\*\par55 0}{\*\par901 5}{\*\par725 0}{\*\par971 0}{\*\par709 0}{\*\par814 0}{\*\par867 0}{\*\par774 2}
{\*\par954 0}{\*\par425 0}{\*\par458 0}{\*\par611 0}{\*\par578 0} и тд.

Не нашел в спецификации как понять par"цифра".

После par"цифра" стоит число в hex'е. В виду чего предполагаю, что всего лишь на всего нужно эти hex-значения расставить в правильном порядке.

Только не могу понять в каком.

Если принять, что par"цифра" это порядковый номер hex=значения, то не клеится потому что в \objdata может быть несколько par с одинаковыми "цифрами".

Может быть вообще не в ту сторону смотрю?

Прошу прошения, если получилось не понятно.