CVE-2022-30190 Follina漏洞Word远程代码执行分析，附钓鱼模板及POC演示？

本文共计1251个文字，预计阅读时间需要6分钟。

昨天关注了‘Follina’+MS-MSDT+n-day+Microsoft+Office+RCE这个漏洞，修改了chvancooten的脚本，实现了自定义word模板，方便实战中钓鱼使用，自己编辑好钓鱼word文档后-f参数指定即可。

昨天看了下'Follina' MS-MSDT n-day Microsoft Office RCE 这个漏洞，修改了下chvancooten的脚本，实现可以自定义word模板，便于实战中钓鱼使用，自己编辑好钓鱼word文档后-f参数指定即可。

也可以从我的github上下载：github.com/komomon/CVE-2022-30190-follina-Office-MSDT-Fixed

1.复现

使用github.com/chvancooten/follina.py的项目生成恶意word文件，可以实现命令执行，不过腾讯电脑管家、火绒会查杀

2. 分析poc

主要就是两处，一处是改word的word/_rels目录下新添加一个document.xml.rels文件，里面是一个windows.location.href加载远程连接

远程html中放着ms-msdt:/协议写的HTML

最后将文件压缩打包成docx。

3. Fuzz

第一种
分析后可知只是在word的word/_rels修改了document.xml.rels文件
应对实战空文件不行，随便新建一个文件然后添加一些内容，然后解压后将document.xml.rels放入，再压缩回去，发现不会触发。