叶子媚WPS Office从路径穿越到远程代码执行漏洞(CVE-2024-叶子媚7262)分析与复现_ZAKER新闻
WPS Office从路径穿越到远程代码执行漏洞(CVE-2024-叶子媚7262)分析与复现_ZAKER新闻
[环球网报道]据台媒2月1日报道，台立法机构负责人选举今日（2月1日）举行，国民党“立委”韩国瑜在第二轮投票中获得54票，当选立法机构负责人。
漏洞概述WPS Office 程序 promecefpluginhost.exe 存在不当路径验证问题，允许攻击者在 Windows 上加载任意 Windows 库文件。该漏洞已被 APT-C-60 攻击者利用，当用户打开 MHTML 格式的文档时，只需单击一个恶意制作的超链接，即可执行攻击者指定的恶意库文件，实现远程代码执行。影响范围WPS Office 版本 12.2.0.13110-12.2.0.16412复现环境操作系统：Win10 10.0.18363.592 WPS Office 版本：WPS Office 12.2.0.13110分析过程WPS 程序安装后注册了一个名为 ksoqing 的自定义 URL 协议，注册表路径为：计算机 HKEY_CLASSES_ROOTksoqingshellopencommand，其内容为 "C:Users【用户名】AppDataLocalKingsoftWPS Office12.2.0.13110office6wps.exe" /qingbangong "%1"。即访问以 ksoqing 开头的 URL 协议时，将启动 wps.exe 程序，并传递 /qingbangong 参数，%1 则被替换为以 ksoqing 开头的协议链接，一并作为 wps 启动的参数。此时 wps.exe 程序解析参数 /qingbangong，并将 ksoqing 链接内容一并发送到 C:Users【用户名】AppDataLocalKingsoftWPS Office12.2.0.13110office6wpscloudsvr.exewpscloudsvr.exe 中的 qingbangong.dll 解析自定义 URL 链接内容。当 type 参数为 ksolaunch 时，将启动 launchname 参数指定的程序，参数使用 base64 编码。launchname 参数指定的程序启动时，wpscloudsvr.exe 会将 URL 链接中的 cmd 参数使用 base64 解码，然后传递给它。如果 launchname 参数指定的是 promecefpluginhost.exe，该程序启动后，将加载 ksojscore.dll，然后解析命令行中的 -JSCefServicePath。这个参数可以指定一个文件名，这个文件会被 kso_qt::QLibrary::load 函数加载到内存执行。默认情况下，如果只是指定一个文件名，会按照 DLL 搜索顺序搜索和加载这个文件，比如加载同 EXE 目录下指定的 DLL 文件。但是这个参数未做任何过滤，可以指定 ".." 包含目录的路径，存在路径穿越漏洞，可以加载任意指定的 DLL 文件，最终实现任意代码执行。使用路径穿越的漏洞可以加载指定 DLL 文件，但这还不够。APT-C-60 攻击者使用 MHTML 格式的 xls 电子表格文件，利用其特性，实现下载远程 DLL 文件的目的。WPS 支持 MHTML 格式的文档，这种文档可以包含 HTML、CSS 和 JavaScript 等文件，方便在浏览器中显示文档。文档中可以使用 img 标签，指定远程 DLL 文件。当文档被打开时，wps 使用 _XUrlDownloadToCacheFile 函数下载文件到 temp 目录下的 wpsINetCache 目录中。下载后的文件名，使用的是下载链接（UNICODE 编码）的 MD5 值。最终配合上述路径穿越漏洞，在 -JSCefServicePath 参数中指定下载的文件名，实现远程代码执行。这里还有一个小技巧，因为下载后的文件名并没有 .dll 后缀，而在加载的时候如果没有指定 .dll 后缀，会自动补上该后缀再加载。为了避免在加载的时候找不到指定文件导致失败，在 -JSCefServicePath 参数中指定下载的文件名时，需要在文件名最后额外加个 "."。漏洞复现新建 xls 格式的文档，添加超链接，超链接可任意，并另存为 MHTML 格式的文档。根据远程 DLL 的下载链接，使用 poc.py 计算下载后的文件名，并最终生成 ksoqing 协议链接。将 ksoqing 链接替换导出的 MHTML 格式文档中的超链接。再根据远程 DLL 的下载链接，添加 img 标签，实现远程下载 DLL 文件。开启远程 DLL 下载服务，然后打开 MHTML 文档，点击超链接，触发漏洞。参考链接ddpoc 链接：https://www.ddpoc.com/DVB-2024-8279.htmlhttps://www.welivesecurity.com/en/eset-research/analysis-of-two-arbitrary-code-execution-vulnerabilities-affecting-wps-office/https://nvd.nist.gov/vuln/detail/CVE-2024-7262https://avd.aliyun.com/detail?id=AVD-2024-7262原文链接koa12jJid0DL9adK+CJ1DK2K393LKASDad
编辑:赵大华
TOP1热点：嫌犯潜逃28年 靠放羊“漂白”身份
周边县城：震中距万荣乡7公里、距光复乡11公里、距瑞穗乡15公里、距丰滨乡17公里、距凤林镇17公里，距花莲县48公里，距台北市157公里。。
TOP2热点：DeepSeek付费课 真有料还是割韭菜
要聚焦能打胜仗，以更高标准、更严要求、更实举措抓好国防动员和后备力量建设各项任务，牢牢把握政治工作生命线，确保政治过硬、思想坚定，着力提升练兵备战硬实力，确保敢打硬仗、能打胜仗，加快构建国防动员新格局，确保精准动员、高效动员，做深做实军民团结大文章，确保同心合力、互促共进。
<span>林刚出生于1971年1月，一直在贵阳市任职，曾任贵阳市棚户区城中村改造办公室主任、党组书记，市城乡规划局局长，云岩区区长，云岩区区委书记。</span>
TOP3热点：不仅有国补还有省补同人全彩本子单行本
据国铁郑州局集团公司通报，受中东部地区大范围雨雪冰冻天气影响，为确保旅客列车运行安全和旅客出行安全，对部分线路区段列车采取降速、动态抽线运行等措施。据河南交通广播，2月1日郑太、郑西等高铁区段有24.5对列车停运。为保障旅客在低温雨雪天气中温暖出行，即日起至2月5日，国铁集团郑州局管内高铁、普速各站候车室24小时开放，并加强车站照明、供暖、饮用水、卫生间、保洁等设备设施运维，组织候车室商铺保障餐饮供应。
巴菲特曾说过：“股票市场根本不在我所关心的范围之内，股票市场的存在只不过是提供一个参考，看看是不是有人报出错误的买卖价格做傻事。”
TOP4热点：患癌公公给儿媳红包里塞催生纸条人马一级要多久人马
汪文斌说，中方接受阿富汗临时政府派遣新任驻华大使，并向中国国家领导人递交国书正本，这是正常的外交安排。希望国际社会加强同阿富汗临时政府的接触交流，鼓励其积极回应国际社会关切，共同帮助阿富汗推进重建发展，支持阿方打击暴恐势力，为地区和平稳定与繁荣作出积极贡献。
TOP5热点：患癌公公给儿媳红包里塞催生纸条英语课代表按到桌子上抄
<span>据媒体报道，港澳委员有别于一般委员，是在新一届政协会议召开前，由中央人民政府驻香港特别行政区联络办公室（下称中联办）各个部门在不同业界选对象，然后推荐给中联办协调部，由他们统筹后再推荐给各个省份，最终和各地统战部协调确定。以广东省为例，政协委员是各个界别先推举出代表，最后由省委统战部统一协调把关，确定最终人选。</span>
TOP6热点：93岁男子强奸案被害人系未成年手机版的黄油推荐大全
谭主注意到，此前一些岛内媒体报道称，瑙鲁是在向赖清德当选“发贺电”后两天“无预警断交”的，台外事部门还称“发贺电”可能是“烟雾弹”。对此，王旭光强调，中瑙复交和台湾岛内选举并没有什么直接联系。瑙鲁政府相关人士告诉中方，瑙方已经作出决定，承认一个中国原则、同中国复交。
TOP7热点：曝天才少女罗福莉已到新岗位上班穿自慰内裤出去会怎么样
12月17日，鹤壁市公安局淇滨区分局针对网传“鹤壁男子实名举报开发商向公职人员行贿”一事公开通报称：2021年12月11日，张某慧、艾某军先后到公安机关报警称，其在网络上被人诬告陷害。警方接到报警后，依法开展调查。经查，张某全、杨某宾与张某慧共同开发房地产期间产生经济纠纷。为报复张某慧，张某全伙同杨某宾、牛某捏造张某慧找艾某军帮忙将行政处罚数额由500万元降为5万元、张某慧退回艾某军的190万元购房款为行贿款的事实，并制作举报视频，在多个微信群内传播，意图使张某慧、艾某军受到刑事追究。张某全等三人的行为涉嫌诬告陷害罪，被采取刑事拘留强制措施。
TOP8热点：专家：美欧矛盾已全面暴露lv日本官网官方网站中文版
汪文斌表示，中国对阿富汗的政策是一贯明确的。作为阿富汗传统友好邻邦，中方始终奉行面向全体阿富汗人民的友好外交政策，同阿富汗保持外交关系和各领域交流合作。
曾刚提到，为了充分发挥超大城市独特优势，杭州还应密切与邻近城市以及伙伴城市的合作关系，以弥补杭州在知名大学与研究院所不足等方面的劣势。
TOP9热点：《哪吒2》看哭外国观众jazzhiphop女rapper
国际油价方面，受市场乐观情绪影响，1月26日国际原油价格上涨。截至当天收盘，纽约商品交易所3月交货的轻质原油期货价格上涨0.65美元，收于每桶78.01美元，涨幅为0.84%；3月交货的布伦特原油期货价格当日上涨1.12美元，收于每桶83.55美元，涨幅为1.36%。
其次，携程等第三方平台遵守国家相关法律法规，通过正常渠道获取火车票资源，优化了技术系统，以提高订票的成功率，凭什么被限制？他们为自己的用户提供更好的服务，有什么错？
TOP10热点：春节前后股民人均赚3万日产淑女
华东师范大学城市发展研究院院长、中国城市规划学会理事曾刚向中国新闻周刊表示，杭州步入超大城市之列，将极大地提升城市战略地位和全球影响力。