文章目录一、CVE-2022-30190是什么？二、使用步骤三、进行其他尝试总结一、CVE-2022-30190是什么？漏洞原理见：https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/核心总结就是：恶意的Word文档，使用远程模板功能，以从一个远程服务器获取HTML文件。HTML代码然后使用微软的MS-MSDTURI协议执行PowerShell代码。当然从后面exploit.html源码看的确是：Goodthingwe
文章目录免责声明前言一、漏洞简介风险等级评判二、影响版本office版本三、漏洞复现复现环境工具使用方法利用第一种第二种防范避免结尾参考免责声明本文章仅供学习和研究使用，严禁使用该文章内容对互联网其他应用进行非法操作，若将其用于非法目的，所造成的后果由您自行承担，产生的一切风险与本文作者无关，如继续阅读该文章即表明您默认遵守该内容。前言MSOfficedocx文件可能包含作为HTML文件的外部OLE对象引用。有一个HTML场景ms-msdt:调用msdt诊断工具，它能够执行任意代码（在参数中指定）。结果是一个可怕的攻击向量，通过打开恶意docx文件（不使用宏）来获取RCE。通俗来说就是调用远程
MSDT（MicrosoftSupportDiagnosticsTool，微软支持诊断工具）是一个Windows实用程序，用于排除故障并收集诊断数据以供专业人员分析和解决问题。ShadowChaserGroup的研究人员在Twitter上表示，这个存在于MicrosoftSupportDiagnosticTool中的漏洞已经于4月12日报告给微软，并已经证明该漏洞已经被黑客利用进行攻击，不过微软安全响应中心团队并未将报告的行为视为安全漏洞。 根据研究员KevinBeaumont的分析，该文档使用Word从远程Web服务器检索HTML文件。然后，该文档使用MSProtocolURI方案来加载和执
读者需知本文仅供学习使用，由于传播和利用此文所造成的损失均由使用者本人负责，文章作者不为此承担责任目录简介影响版本复现过程风险危害修复意见简介MSDT（MicrosoftSupportDiagnosticsTool，微软支持诊断工具）是一个Windows实用程序，用于排除故障并收集诊断数据以供专业人员分析和解决问题。攻击者可通过恶意Office文件中远程模板功能从服务器获取恶意HTML文件，通过'ms-msdt'URI来执行恶意PowerShell代码。另外，该漏洞在宏被禁用的情况下，仍能通过MSDT（MicrosoftSupportDiagnosticsTool）功能执行代码，当恶意文件保存
目录免责声明：CVE-2022-30190漏洞复现漏洞概述：影响版本：漏洞复现：使用方法：利用：修复建议：参考：免责声明：本文章仅供学习和研究使用，严禁使用该文章内容对互联网其他应用进行非法操作，若将其用于非法目的，所造成的后果由您自行承担，产生的一切风险与本文作者无关，如继续阅读该文章即表明您默认遵守该内容。CVE-2022-30190漏洞复现漏洞概述：该漏洞首次发现在2022年5月27日，由白俄罗斯的一个IP地址上传。恶意文档从Word远程模板功能从远程Web服务器检索HTML文件，通过ms-msdtMSProtocolURI方法来执行恶意PowerShell代码。感染过程利用Window
文章目录介绍复现Poc分析分析Python代码ms-msdt协议修复介绍可利用恶意Office文件中的远程模板功能从远程网络服务器获取恶意HTML文件，通过微软支持诊断工具（MicrosoftSupportDiagnosticTool，MSDT）执行恶意PowerShell代码。该漏洞在宏被禁用的情况下，仍然可以调用MSDT执行恶意代码。并且当恶意文件另存为RTF格式时，还可以通过Windows资源管理器中的预览窗格触发此rce的调用，无需执行也可以在目标机器上执行任意代码。利用RCE能够在非管理员权限、禁用宏且在windowsdefender开启的情况下绕过防护，达到上线的效果RTF是Ric
目录漏洞概述受到影响的产品和版本漏洞复现1、搭建靶场2、攻击复现一、执行系统程序二、执行系统命令修复漏洞概述MicrosoftWindowsSupportDiagnosticTool是美国微软（Microsoft）公司的收集信息以发送给Microsoft支持的工具（Windows上的微软支持诊断工具中存在此漏洞）。当从Word等应用程序使用URL协议调用MSDT时存在远程执行代码漏洞，攻击者通过制作恶意的Office文档，诱导用户在受影响的系统上打开恶意文档后，在宏被禁用的情况下，仍可通过ms-msdtURI执行任意PowerShell代码，当恶意文件保存为RTF格式时，无需受害者打开文件，即
CVE-2022-30190https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/在微软官方的介绍里，是从Word等调用应用程序使用URL协议调用MSDT时存在远程执行代码漏洞。成功利用此漏洞的攻击者可以使用调用应用程序的权限运行任意代码。意思是恶意Word文档可以使用远程模板功能从远程服务器获取HTML文件，并且HTML代码可以使用Microsoft的MS-MSDTURI协议方案来加载其他代码并执行PowerS
0x01MicrosoftOfficeMicrosoftOffice是由Microsoft(微软)公司开发的一套办公软件套装。常用组件有Word、Excel、PowerPoint等。0x02漏洞简介该文档使用Word远程模板功能从远程网络服务器检索HTML文件，该服务器使用ms-msdtMSProtocolURI方案加载代码并执行PowerShell，禁用宏，仍能通过MSDT功能执行代码（恶意Word文档通常用于通过宏执行代码）。MicrosoftDefender当前无法阻止执行。受保护的视图启动无需打开文档即可运行。0x03漏洞复现步骤：1、新建一个word文档，在里面随便输入东西 2、将w
概述MicrosoftWindowsSupportDiagnosticTool(MSDT)RemoteCodeExecutionVulnerability对应的cve编号为CVE-2022-30190，其能够在非管理员权限、禁用宏且在windowsdefender开启的情况下绕过防护，达到上线的效果。当从Word等应用程序使用URL协议调用MSDT时存在远程执行代码漏洞，攻击者通过制作恶意的Office文档，诱导用户在受影响的系统上打开恶意文档后，在宏被禁用的情况下，仍可通过ms-msdtURI执行任意PowerShell代码，当恶意文件保存为RTF格式时，无需受害者打开文件，即可通过资源管理
