Windows支持诊断工具(MSDT)远程代码执行漏洞(CVE-2022-30190)分析复现/修复

2022-07-06 15:52:37 浏览数 (1)

前言

Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability对应的cve编号为CVE-2022-30190，其能够在非管理员权限、禁用宏且在windows defender开启的情况下绕过防护，达到上线的效果。

当从Word等应用程序使用 URL 协议调用 MSDT 时存在远程执行代码漏洞，攻击者通过制作恶意的Office文档，诱导用户在受影响的系统上打开恶意文档后，在宏被禁用的情况下，仍可通过 ms-msdt URI执行任意PowerShell代码，当恶意文件保存为RTF格式时，无需受害者打开文件，即可通过资源管理器中的预览窗格在目标系统上执行任意代码。

微软官方通报该漏洞后，红队蓝军团队第一时间对其进行分析复现。

适用版本

在这里笔者只测试了如下版本，对于Office的 Insider 和 Current 和版本无法进行利用

Microsoft Office LTSC 专业增强版 2021 Office 2013 Office 2016

环境搭建

这里笔者使用Office Tool Plus进行office的安装(记得打一下广告费)，官网如下

代码语言：javascript复制
https://otp.landian.vip/zh-cn/

github链接如下

代码语言：javascript复制
https://github.com/YerongAI/Office-Tool/releases/tag/v8.3.10.7

这里我安装Microsoft Office LTSC 专业增强版 2021版本

笔者下载的版本为2108

漏洞复现

弹计算器

我们找到poc，链接如下

代码语言：javascript复制
https://github.com/chvancooten/follina.py

我们可以看到作者给出了以下几种用法

代码语言：javascript复制
# Execute a local binary
python .follina.py -m binary -b windowssystem32calc.exe

# Execute a binary from a file share (can be used to farm hashes 


	


windowsserver jquery 网络安全 安全 




	






	

 0 人点赞