定制Word钓鱼模板：CVE-2022-30190 Follina Office RCE深度剖析

CVE-2022-30190是针对Microsoft Office的一系列远程代码执行漏洞（Remote Code Execution, RCE），被称为"Follina"漏洞。此漏洞影响MS-MSDT组件，允许攻击者通过精心构造的Word文档诱骗用户点击，从而在受害者计算机上执行任意代码。漏洞利用的关键在于document.xml.rels文件的篡改，以及利用Windows.location.href来加载包含恶意MS-MSDT链接的远程HTML文件。 1. **复现方法** 利用chvancooten的follina.py脚本来生成恶意Word文档，该脚本允许用户自定义钓鱼模板。原始的脚本生成的文档可以执行命令，但可能会被部分安全软件如腾讯电脑管家和火绒安全软件检测并阻止。为了绕过这些防护，你需要对生成的文件进行调整，确保文档看起来自然且不引起用户的警觉。 2. **漏洞利用策略** 漏洞利用主要涉及两个关键步骤： - 在word/_rels目录下创建或修改document.xml.rels文件，引入ms-msdt:协议指向的恶意HTML。 - 将包含恶意链接的压缩文档伪装成常规Word文档，以便在用户不知情的情况下打开。 3. **Fuzz测试** 对不同策略进行了模糊测试： - 原始的document.xml.rels文件只对Word内部结构有效，空文件或简单的修改无法触发漏洞。 - 非修改过的clickme.docx文件可以在多次尝试中触发，但一旦修改就失效。 - 改变document.xml.rels文件名或内容的检查机制可能依赖于特定关键词，如"http"，这表明检查重点在于链接的URL。 - 实战中需要使用定制模板，避免因模板异常而引起怀疑。 4. **word文件结构与Poc分析** Word文档的结构通常包括Content_Types.xml，它描述文档的整体组成。而在漏洞利用过程中，重点是在("_rels"目录下的document.xml.rels文件，它负责管理文档关系，攻击者借此插入恶意链接。Poc（Proof of Concept）代码需要精确地操纵这些关系来实现远程代码执行。 总结，CVE-2022-30190 Follina漏洞利用了Microsoft Office在处理某些特定XML结构时的安全漏洞，攻击者能够通过精心设计的Word文档，利用用户点击触发远程HTML加载，进而执行预设的代码。为了在实际攻击中提高成功率，开发了可自定义模板的Poc脚本，但同时需要小心规避安全软件的检测。理解这些细节对于防范此类漏洞至关重要，企业和个人用户应保持警惕，及时更新和采取安全措施。