CVE-2022-24644

ZZ Inc. KeyMouse 3.08（Windows）未经验证的更新远程代码执行漏洞

用法：python3 cve-2022-24644_poc.py

详情见 gerr.re 上的报告。

复现步骤

1. 安装 KeyMouse Windows 3.08；
2. 将 www.keymouse.com 欺骗解析到攻击者 IP；
   • 对于概念验证而言，最简单的方法是编辑目标上的 c:\windows\system32\drivers\etc\hosts 文件。
     • 攻击者还可以使用例如：
       • 配置不当的路由器/交换机/DNS
       • DNS 缓存投毒
       • ARP 缓存投毒
3. 在攻击者机器上编译 proof.c，例如使用 i686-w64-mingw32-gcc proof.c -o proof.exe；

#include <windows.h>
int main(int argc, char const *argv[]){	
	WinExec("cmd.exe",1);
	return TRUE;
}

4. 在攻击者机器上运行概念验证脚本；
5. 在目标上启动 KeyMouse 并触发更新：
   • 应用程序菜单：帮助 -> 检查更新
   • 任务栏：右键单击任务栏图标 -> 检查更新（或安装更新）
6. 继续执行更新。

最终，proof.exe 将以高完整性级别的 Administrator 用户上下文执行。