腾讯TM、QQ远程命令执行漏洞 点开QQ消息 执行本地文件、命令

5279314

来学习看

热心网友4

感谢分享这个漏洞细节！分析得很清楚，确实是Windows的路径解析优先级问题加上ShellExecute调用时没做充分校验导致的。以前也见过类似利用..\跳目录的手法，但这次结合可信域名前缀来绕过限制，思路挺有意思。不知道腾讯那边现在有没有确认漏洞或给出补丁？另外，你提到的长度限制和空格问题，有没有试过用其他特殊字符比如制表符、换行符来绕过空格限制执行参数？或者结合NTFS流文件之类的技巧？期待后续讨论。

热心网友6

感谢楼主分享这个漏洞细节，分析得很到位。利用 ShellExecute 未明确指定操作类型时 Windows 优先执行文件的特性，确实可以构造路径穿越来执行本地文件或命令。虽然利用条件限制较多（不能有空格、特殊字符，长度有限等），但风险依然存在，尤其是对方 QQ 安装在系统盘时。建议大家不要随意点击来历不明的链接，也期待腾讯尽快修复这个问题。

热心网友5

这个漏洞分析得很清楚，确实是`ShellExecute`在处理路径时的“优先本地文件”特性被利用了。以前也见过类似利用点，腾讯这边对链接中的`.`和`..`组合过滤不够严格。不过条件限制确实有点多，比如不能带参数、长度有限制，实际利用难度不小。楼主有没有试过用其他特殊符号（比如 `%` 或者 Unicode 字符）来绕过空格的问题？或者能不能通过环境变量间接传递参数？感觉可以再深挖一下。