CVE-2024-21412 PoC — Internet Shortcut Files Security Feature Bypass Vulnerability

Source

Associated Vulnerability

Description

according to trendmicro's research

Readme

# CVE-2024-21412_Water-Hydra

通过 CVE-2024-21412 传递恶意软件

## usage

依次启动服务，并访问 web server

## webserver

在文件夹内启动 web server: `python -m http.server`
- Initial Access: 使用 Windows 高级查询语法（AQS）链接回 WebDAV 共享的 JPEG 木马。
- Initial Access：使用 search: 协议来自定义 Windows 资源管理器窗口
  - 它使用 search: 应用协议搜索来执行照片搜索
  - 它使用 crumb 参数来限制搜索范围到恶意的 WebDAV 共享。
  - 它使用 DisplayName 元素来欺骗用户，使他们认为这是本地的下载文件夹。

## samba-compose

在文件夹内执行 `docker compose up`
- 使用 crazymax/samba docker 的 samba 服务器

## loader

编写 `a2.cmd` 并压缩为 `a2.zip` 文件，放在 `samba-compose/pictures` 文件夹内
- Execution: 利用 CVE-2024-21412 (ZDI-CAN-23100) 绕过 Microsoft Defender SmartScreen
> CVE-2024-21412 围绕互联网快捷方式。这些.url 文件是简单的 INI 配置文件，它们采用“URL=”参数指向一个 URL。虽然.url 文件格式没有官方文档，但 URL 参数是这种文件类型所必需的唯一参数。

File Snapshot

 [4.0K]  /data/pocs/a00bfd67e4ec31e485e7333cffccf51ced97f9b9
├── [4.0K]  loader
│   └── [ 244]  a2.cmd
├── [1.1K]  README.md
├── [4.0K]  samba-compose
│   ├── [ 338]  compose.yml
│   ├── [4.0K]  data
│   │   └── [ 542]  config.yml
│   └── [4.0K]  pictures
│       ├── [ 134]  2.url
│       ├── [ 346]  a2.zip
│       └── [ 113]  photo_2024-03-20.jpg.url
└── [4.0K]  webserver
    └── [ 493]  photo_2024-03-20.jpg.htm

5 directories, 8 files

Remarks