CVE-2022-39197(CobaltStrike XSS =4.7)

前言

最先是在某群里得到的消息，当时很后怕，因为近期我的木马频繁被传进沙箱里分析，还好马上在外网上就找到了相关的介绍还有一些项目地址

CS官方通告

<=4.7的teamserver版本存在XSS漏洞，从而可以造成RCE远程代码执行

环境配置

工具需要

服务端:kali

客户端:windows

POC ：POC1 POC2 两个是一样的 任选其一

CS解析器： CS解析器

Kali服务端：

• ./teamserver 172.27.43.19 123123

windows服务端

• 先设置一个监听器

• 然后生成一个exe木马 将生成的beacon.exe 扔到cs解释器目录下 py parse_beacon_config.py beacon.exe --json

这就解出来了样本的密钥和地址 需要注意的是这里边的Port、PublicKey、C2Server、HttpPostUri 将Port、C2Server、HttpPostUri拼接成地址连接 http://172.27.43.19:8019/fwlink/submit.php

运行POC

将XSS的图片连接填入第一个位置 第二个链接是beacon解析出的地址 第三个箭头放的是密钥PublicKey

如果运行脚本遇见报错： 120 bytes needed for message, but there is only space for 117

说明第一个箭头 图片的位置链接太长了 加个短链接处理一下

运行之后 xss成功

参考连接：https://xzajyjs.cn/2022/09/23/CVE-2022-39197/