目前为止(2020/3/19),Visual Studio Code (VScode)的Python扩展插件,已经有 17,571,955次安装。
(攻击者可以利用这个漏洞远程执行命令。而且,利用场景还相当普遍 ...)
漏洞利用
Visual Studio 程序员都不会陌生。Visual Studio Code嘛,就是微软新战略的跨平台版本,不仅支持Windows,还可以在类Unix系统上运行:
[Visual Studio Code](https://code.visualstudio.com/)
“Microsoft在2015年4月30日Build 开发者大会上正式宣布了 Visual Studio Code 项目:一个运行于 Mac OS X、Windows和 Linux 之上的,针对于编写现代 Web 和云应用的跨平台源代码编辑器。”
--百度词条"visual studio code"呃... 原理介绍有点长,详细原文请参考Filippo Cremonese同志的博客:
https://blog.doyensec.com/2020/03/16/vscode_codeexec.html
介里挑重点说一下。VScode在处理python时,不会直接用python系统环境的包内容,例如,你辛辛苦苦直接用pip安装了一大堆包。例如,你要装,嗯...pylint ,装完后,结果VScode它竟然视而不见。就是这个样子的
那它怎么处理的呢,原来它就只认这个python项目虚拟环境(virtualenv)的包。同时呢,VScode又会不加思考,不带问你要不要,就可能直接运行虚拟环境项目目录里的代码,初衷是为了格式化、自动补齐等等。。
然鹅,这个不安全的设计,将是能够导致任意代码执行的罪魁祸首。而利用场景将如此普遍,甚至VScode用户只需要简单地克隆并打开一个python项目,就可能中招。
(所以,所以,所以,IDE,IDE,IDE开发环境,不要随随便便克隆乱七八糟的项目啊)
所以,咋利用的???
这里有个demo,一个专门的‘搞事情‘的python 项目,能利用上面的漏洞:
1.先克隆这个项目回来:
git clone https://github.com/doyensec/VSCode_PoC_Oct2019.git
2.把这个项目加到苹果电脑VSCode的工作空间。注意哈,这个漏洞影响所有相关平台,但这里的poc只支持MacOS,弹计算器(Calculator.app)
3.在VScode里,打开‘test.py’
参 Filippo Cremonese
考:https://www.exploit-db.com/exploits/48231
https://blog.doyensec.com/2020/03/16/vscode_codeexec.html
HackerHub发布 | 转载请注明出处
.> 欧洲版安全浏览器漏权限提升简单教程
.> HashCracker,一个简单的加密密码爆破软件
.> 冠状之蓝 之 SMB幽灵我在看,你呢?