近日，监测发现WPS Office for Windows版本 存在0day漏洞，攻击者可以利用该0day漏洞在受害者主机上执行任意恶意文件；目前已经发现了该Oday漏洞的在也利用。

漏洞描述

攻击者利用本漏洞专门构造出恶意文档，受害者打开该文档并执行相应操作后，才会联网从远程服务器下载恶意代码到指定目录并执行，前提是系统当前用户对该目录具备写权限，攻击者进而控制其电脑。

影响范围

• WPS Office 2023个人版<11.1.0.15120
• WPS Office 2019企业版<11.8.2.12085

漏洞原理

通过wps文件的某种远程加载机制去调用互联网上的资源，其中被调用的资源必须恶意满足域名格式为clientweb.docer.wps.cn.{xxxxx}wps.cn，其中{xxx}是什么都行，然后通过修改docx的某项配置文件中的特定属性，让docx打开时去调用相关文件并加载其中的恶意代码

复现环境

1. wps的版本信息，如下：

2. 在poc目录下，启动http server 并监听80端口，执行python3 -m http.server 80

3. 访问clientweb.docer.wps.cn.cloudwps.cn

能正常访问这个地址，说明环境已经搭建成功了。如果不能正常访问，按照如下步骤修改hosts文件：

• 将本地的host改成符合clientweb.docer.wps.cn.{xxxxx}wps.cn形式，
• hosts文件目录为C:WindowsSystem32driversetc，在本次复现中
• 添加host为127.0.0.1 clientweb.docer.wps.cn.cloudwps.cn，示意图如下

:::info
想要复现的小伙伴可以关注公众号"攻城狮成长日志"回复“poc”,获取漏洞poc
:::

漏洞复现

打开poc.docx即可弹出计算器

修复建议

1. 请不要随意打开不明来源的PPS、PPSX、PPT、PPTX、DOC、DOCXXLS、XLSX文档；
2. 请勿随意点击PPS、PPSX、PPT、PPTX、DOC、DOCX、XLS、XLSX文档中的URL链接或带URL超级链接的图片或视频等；
3. 如果使用WPS打开 PDF文件，请勿随意点击PDF中的URL链接或超级链接；
4. 官方已发布相关补丁，如果在使用WPS Office企业版，请确保企业版升级到11.8.2.12085；如果您使用的是 WPS Ofice 个人版，请通过WPS官网获取最新版本进行升级；