某Q客户端远程代码执行漏洞

一、漏洞详情

漏洞描述

2023 年 8 月 20 日，赛博昆仑捕获到利用 QQ 桌面客户端远程执行的漏洞，该漏洞为逻辑漏洞，攻击者可以利用该漏洞在 QQ 客户端上进行无需用户确认的文件下载执行行为，当用户点击消息链接时，QQ 客户端会自动下载并打开文件，最终实现远程代码执行的目的。建议谨慎点击任何消息链接。

威胁程度

该漏洞为逻辑漏洞，利用 QQ 客户端的逻辑缺陷进行攻击，被攻击方在点击消息内容（链接）时，不会弹窗提示，自动下载执行，在攻击者利用的层面，可降低攻击者钓鱼等攻击手段的难度。

影响范围

影响范围：QQ Windows 版 9.7.13 及以前版本

处置建议

1、提示用户谨慎点击消息链接。
2、升级或安装终端安全软件，用于检测落盘的文件是否异常。

二、漏洞利用

测试版本

漏洞利用

CS 生成一个 exe 的木马程序。

将马子生成在桌面上。

 

将生成的木马发给自己的另一个号（不是发送给受害者）。

然后右键文件进行回复，再发送回复内容。

 接着将回复内容转发给受害者。

来到受害者的 QQ 上，点击文件进行下载。

注：这里下载后会自动运行我们的 cs 木马

回到 cs 上可以看到成功上线。