• 🧠 Entenda
• 🐾 Rode
• 📺 Mostre-me

Conceito central: vulnerabilidade de path traversal na tecnologia Diagcab da Microsoft (msdt) que pode levar à execução remota de código.
Você pode encontrar o advisory completo na postagem do blog
A vulnerabilidade foi reportada há 2 anos (por @irsl) e ainda não tem correção!

Como funciona?

O Proof-of-Concept configura um servidor webdav hospedando um arquivo .diagcab malicioso que fará um path traversal para gravar um executável malicioso em C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup. Gravar um executável nesta pasta fará com que ele seja executado toda vez que o usuário iniciar a máquina Windows; isso é chamado de Boot Logon Autostart Execution.

Então, basicamente o que precisamos é de:

• servidor webDAV
• arquivo .diagcab malicioso
• executável malicioso (um legítimo ou um arquivo de texto simples é suficiente para o PoC)

🎬 Cenário

1. A vítima visitará um link (phishing, engenharia social, ou o que for) que baixará o arquivo .diagcab

^{(💡 use o cabeçalho de resposta Content-type: application/octet-stream para fazer o navegador baixar automaticamente o arquivo ao acessar a url)}

2. A vítima clica no download do arquivo (pode acontecer facilmente/acidentalmente apenas clicando na pasta de downloads do navegador)
3. O arquivo cab carrega o executável malicioso do webdav -> (path traversal) baixado na pasta de inicialização
4. O usuário reinicia o dispositivo -> (RCE)

Vamos lá

Se você está com preguiça (ou com pressa) de seguir o passo a passo:

Caso contrário ↓↓

🔨 Crie o arquivo .diagcab

• arquivos .diagcfg são simples arquivos XML que contêm referência a um ou mais pacotes de diagnóstico e fornecem meta-informações sobre eles
• Eles são empacotados em arquivos cabinet da Microsoft e salvos com a extensão .diagcab.

Primeiro construa custom.diagcfg:

E construa o hotfix895214.diagcab:

Por fim, mova-o para o diretório ./webdav/diagcab-webdav-poc/config

🏗️ Configure o servidor

Coloque o executável que você deseja transferir para a máquina da vítima dentro do diretório ./webdav/malicious... ^{(Aqui usamos o clássico calc.exe)}

...E lance o servidor:

O .diagcab malicioso está disponível em https://[WEBDAV_URL]/config/hotfix895214.diagcab. Agora você precisa atrair uma vítima para clicar nesse link.

^{(💡 você pode usar um encurtador de URL para que pareça menos suspeito)}

👁️ Espere e veja

🐾🐾