QQ客户端RCE漏洞复现

发表于2023-08-31更新于2024-04-10

漏洞详情

漏洞名称：QQ客户端远程代码执行漏洞

威胁程度：该漏洞给为逻辑漏洞，利用QQ客户端的逻辑缺陷进行攻击，被攻击方在点击消息内容时，不会弹窗提醒，自动下载并执行，在攻击者利用层面，可降低攻击者钓鱼等攻击手段的难度。

处置建议：

  1. 提示用户谨慎点击消息链接。
  2. 升级或安装终端安全软件，用于检测下载的文件是否异常。

影响范围：QQ Windows版9.7.13及以前版本

漏洞复现

  1. 准备一个可执行文件或批处理文件，例如calc.bat

    image-20230831144400764

  2. 在聊天窗口中发送calc.bat文件给测试账号

    image-20230831144547875

  3. 回复任何内容给该消息

    image-20230831144723540

  4. 转发回复的内容给目标

    image-20230831145905169

  5. 目标点击该消息即可自动下载并执行，中间无任何提示

    image-20230831150359338