4n4s4zi/cve-2025-33053_pocCVE-2025-33053에 대한 POC 익스플로잇 (URL 파일의 파일 실행 경로 외부 제어)
.url 파일의 작업 디렉터리를 외부 WebDAV 서버로 설정할 수 있습니다. Windows 클라이언트에서 이 파일을 열면 URL 필드에 정의된 실행 파일의 종속성이 외부 WebDAV 공유에서 검색됩니다. 임의의 실행 파일이나 DLL이 이러한 종속성 중 하나와 동일한 이름을 가질 경우, Windows 클라이언트에 의해 로드되어 실행됩니다. 이 POC의 경우 URL은 Windows 클라이언트 로컬의 Internet Explorer 진단 실행 파일인 "iediagcmd.exe"로 설정됩니다. iediagcmd.exe는 이후 여러 다른 실행 파일을 호출하며, 그중 하나가 "route.exe"입니다. 셸코드 로더와 같은 임의의 바이너리에 동일한 이름을 부여하고 .url 파일의 "WorkingDirectory" 변수에 지정된 WebDAV 서버에 공유하면, URL 파일이 열릴 때 Windows 클라이언트가 해당 바이너리를 로드하여 실행합니다.
sudo bash webdav_setup.sh를 실행하여 Linux 호스트에서 Apache2 WebDAV 서버를 구성하고 실행합니다 (또는 직접 설정하세요).
"route.exe"라는 이름의 실행 파일(예: 셸코드 로더)을 WebDAV 공유에 배치합니다.
URL 파일을 수정하여 WebDAV 서버의 도메인 이름 또는 IP 주소를 가리키도록 합니다.
URL 파일을 사용자가 실행하도록 유도하는 어떤 방식으로든 Windows 클라이언트에 제공합니다.
C2 콜백을 트리거하는 페이로드를 사용하는 경우, route.exe가 반환되지 않을 수 있습니다. iediagcmd.exe는 명령이 완료될 때까지 기다리는 창을 열므로, 클라이언트에서 taskkill /f /im iediagcmd.exe 명령을 실행하여 원래 iediagcmd 프로세스 창을 종료합니다.
