CVE-2022-30190 (Follina)

Ein Proof of Concept (PoC) für CVE-2022-30190 (Follina).

Voraussetzungen

Opfer

• Windows 10 21H1 (entsprechend oder früher)
• Sicherheitsupdate KB5016616 deinstalliert

Angreifer

• Microsoft .NET SDK
• Python 3.9 oder höher

Konfiguration

Bearbeiten Sie config.xml, um den Hostnamen und die Portnummer des Angreifer-Servers zu ändern.

<host>
  <name>{ hostname }</name>
  <port>{ port }</port>
</host>

Verwendung

Trojaner

Das folgende Python-Skript erstellt die Datei trojan.docx und initialisiert den Server des Angreifers.

python init.py

Payload

Erstellen Sie die Payload und entfernen Sie alle unnötigen Binärdateien mit dem Folgenden.

dotnet publish LocalEXF

Bereinigen

Führen Sie das folgende Batch-Skript aus, um dieses Verzeichnis und alles darin dauerhaft zu löschen.

.\destroy_all.bat

Wichtige Hinweise

• Um komplexe PowerShell-Befehle wie diesen PoC auszuführen, müssen diese Befehle Base64-kodiert sein.

• index.html muss mindestens 4096 Bytes Daten innerhalb des <script>-Tags enthalten.

• Alle Argumente müssen wie in href.txt beschrieben verwendet werden.

• Microsoft Word kann die Datei index.html nicht verwenden, um JavaScript auszuführen. Aber aus irgendeinem Grund funktioniert location.href.

• Bei Befehlen, die langlaufende Aufgaben aufrufen, wird ein Problembehandlungs-Assistent angezeigt, wenn das Opfer das Dokument lädt. Das Opfer kann den Angriff versehentlich ablehnen, indem es den Assistenten abbricht. Stellen Sie sicher, dass die Befehlsausführungszeit kurz ist.