• 🧠 Comprendre
• 🐾 Lancer
• 📺 Montrez-moi

Concept clé : vulnérabilité de traversée de chemin dans la technologie Diagcab de Microsoft (msdt) qui pourrait mener à une exécution de code à distance.
Vous pouvez trouver l'avis complet dans le billet de blog
La vulnérabilité a été signalée depuis 2 ans (par @irsl) et n'a toujours pas de correctif !

Comment ça marche ?

La preuve de concept met en place un serveur webdav hébergeant un fichier .diagcab malveillant qui effectuera une traversée de chemin pour écrire un exécutable malveillant dans C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup. Le fait d'écrire un exécutable dans ce dossier entraînera son exécution à chaque démarrage de la machine Windows par l'utilisateur ; cela s'appelle Boot Logon Autostart Execution.

Donc, en gros, ce qu'il nous faut :

• serveur webDAV
• fichier .diagcab malveillant
• exécutable malveillant (un exécutable légitime ou un simple fichier texte suffit pour la PoC)

🎬 Scénario

1. La victime visitera un lien (hameçonnage, ingénierie sociale ou autre) qui téléchargera le fichier .diagcab

^{(💡 utilisez l'en-tête de réponse Content-type: application/octet-stream pour que le navigateur télécharge automatiquement le fichier lors de la navigation vers l'URL)}

2. La victime clique sur le fichier téléchargé (cela peut arriver facilement/accidentellement en cliquant simplement sur le dossier de téléchargement du navigateur)
3. Le fichier cab charge l'exécutable malveillant webdav -> (traversée de chemin) téléchargé dans le menu Démarrer
4. L'utilisateur redémarre son appareil -> (RCE)

C'est parti

Si vous êtes trop paresseux (ou pressé) pour procéder étape par étape :

Sinon ↓↓

🔨 Fabriquer le fichier .diagcab

• Les fichiers .diagcfg sont de simples fichiers XML qui contiennent une référence à un ou plusieurs packages de diagnostic et fournissent des métadonnées à leur sujet.
• Ils sont empaquetés dans des archives de fichiers cabinet Microsoft et enregistrés avec l'extension .diagcab.

Construisez d'abord custom.diagcfg :

Et construisez le hotfix895214.diagcab :

Enfin, déplacez-le dans le répertoire ./webdav/diagcab-webdav-poc/config

🏗️ Mettre en place le serveur

Placez l'exécutable que vous souhaitez transférer sur la machine victime dans le répertoire ./webdav/malicious... ^{(Ici, nous utilisons le classique calc.exe)}

...Et lancez le serveur :

Le fichier .diagcab malveillant est disponible à l'adresse https://[WEBDAV_URL]/config/hotfix895214.diagcab. Vous devez maintenant attirer une victime pour qu'elle clique sur ce lien.

^{(💡vous pouvez utiliser un raccourcisseur d'URL pour que cela paraisse moins suspect)}

👁️ Attendez et voyez

🐾🐾