微信 RCE 0day复现

发布于 2021-04-18  649 次阅读


0xFF 免责声明

由于传播、利用此文提供的信息而造成的任何直接或间接的后果,均有使用者承担,本站不为此承担任何责任。

太长不看版:

3.2.1.132及之前版本的PC版微信有安全漏洞,通过微信内置浏览器点击恶意链接,即可实现任意命令执行(RCE)

以上测试为打开Windows系统(64位机)内置计算器

RCE(Remote command/code execute)漏洞,可以让攻击者直接向后台服务器远程注入操作系统命令或者代码,从而控制后台系统。具体能做什么,只有受害者想不到,没有攻击者做不到(假的,这个需要技术的)。比较常见的应用为shell反弹,即通过构造恶意代码,打开控制受害者机器的大门,再通过花式提权,获取机器的最高权限(如果可以的话)。理论上不反弹shell也能执行很多危险造作,比如删库跑路等,具体可以知乎搜索CTF搅屎棍(误)

简单解释一下RCE

0x00 故事起因

昨天看到奇安信的紧急通告:

紧急更新公告

“严重安全问题”,“强烈建议”,这BUG好猛啊,是不是可以RCE啊,这不赶紧来试一下

然后去360响应中心上找了一下预警......发现确实是个在野漏洞:

组件: Windows版微信

漏洞类型: 远程代码执行

影响: PC接管

简述: 攻击者可以通过微信发送一个特制的web链接,用户一旦点击链接,Windows版微信便会加载执行攻击者构造恶意代码,最终使攻击者控制用户PC。

https://cert.360.cn/warning/