stm32cubeide自动补齐代码_微软代码编辑器VSCode Python插件RCE

目前为止(2020/3/19)，Visual Studio Code (VScode)的Python扩展插件，已经有 17,571,955次安装。

(攻击者可以利用这个漏洞远程执行命令。而且，利用场景还相当普遍 ...)

漏洞利用

Visual Studio 程序员都不会陌生。Visual Studio Code嘛，就是微软新战略的跨平台版本，不仅支持Windows，还可以在类Unix系统上运行：

[Visual Studio Code](https://code.visualstudio.com/)

“Microsoft在2015年4月30日Build 开发者大会上正式宣布了 Visual Studio Code 项目：一个运行于 Mac OS X、Windows和 Linux 之上的，针对于编写现代 Web 和云应用的跨平台源代码编辑器。”

--百度词条"visual studio code"

呃... 原理介绍有点长，详细原文请参考Filippo Cremonese同志的博客：

https://blog.doyensec.com/2020/03/16/vscode_codeexec.html

介里挑重点说一下。VScode在处理python时，不会直接用python系统环境的包内容，例如，你辛辛苦苦直接用pip安装了一大堆包。例如，你要装，嗯...pylint ，装完后，结果VScode它竟然视而不见。就是这个样子的

那它怎么处理的呢，原来它就只认这个python项目虚拟环境(virtualenv)的包。同时呢，VScode又会不加思考，不带问你要不要，就可能直接运行虚拟环境项目目录里的代码，初衷是为了格式化、自动补齐等等。。

然鹅，这个不安全的设计，将是能够导致任意代码执行的罪魁祸首。而利用场景将如此普遍，甚至VScode用户只需要简单地克隆并打开一个python项目，就可能中招。

(所以，所以，所以，IDE，IDE，IDE开发环境，不要随随便便克隆乱七八糟的项目啊)

所以，咋利用的？？？

这里有个demo，一个专门的‘搞事情‘的python 项目，能利用上面的漏洞：

1.先克隆这个项目回来：

git clone https://github.com/doyensec/VSCode_PoC_Oct2019.git

2.把这个项目加到苹果电脑VSCode的工作空间。注意哈，这个漏洞影响所有相关平台，但这里的poc只支持MacOS，弹计算器(Calculator.app)

3.在VScode里，打开‘test.py’

参 Filippo Cremonese

考：https://www.exploit-db.com/exploits/48231

https://blog.doyensec.com/2020/03/16/vscode_codeexec.html

HackerHub发布 | 转载请注明出处

.> 欧洲版安全浏览器漏权限提升简单教程

.> HashCracker，一个简单的加密密码爆破软件

.> 冠状之蓝  之 SMB幽灵

我在看，你呢？