CVE-2020-17148:Visual Studio代码远程开发扩展RCE破绽

频道:科技 日期: 浏览:27

皇冠平台出租rent.22223388.com)是皇冠(正网)接入菜宝钱包的TRC20-USDT支付系统,为皇冠代理提供专业的网上运营管理系统。系统实现注册、充值、提现、客服等全自动化功能。采用的USDT匿名支付、阅后即焚的IM客服系统,让皇冠代理的运营更轻松更安全。

Visual Studio Code Remote Development扩展程序远程执行代码破绽。

Visual Studio Code Remote Development Extension(VS 代码远程开发扩展)允许用户使用容器、远程机械或Windows Linux子系统作为完整的开发环境。行使该扩展可以:

◼脱离开发环境来阻止影响内陆机械设置;

◼使用内陆操作系统中没有的工具或运行时环境和治理多个版本;

◼使用Windows Linux子系统来开发Linux部署的应用;

◼远程开发扩展包中的每个扩展都可以直接在容器或WSL中运行下令和其他扩展,就像在内陆运行一样。

CVE-2020-17148破绽剖析

研究职员在Visual Studio代码远程开发扩展中发现了一个远程代码执行破绽——CVE-2020-17148,攻击者行使该破绽可以迫使受害者接见恶意链接,接见恶意链接会导致其可以在系统中执行随便代码。

破绽发生的缘故原由是“Remote - SSH”扩展的一个参数注入。Remote-SSH扩展是远程开发扩展平安和使用的,会使用主机的SSH二进制文件来与远程主机确立毗邻。

其中一种触发SSH毗邻的方式是使用vscode:// URI方案,详细花样为:

vscode://vscode-remote/ssh-remote+$REMOTE_HOST+$PATH_OF_PROJECT_ON_THE_REMOTE_HOST

用户浏览该URI后,VSCode就会打开,扩展就会实验毗邻到远程主机$REMOTE_HOST。

并执行下令:ssh -T -D $RANDOM_PORT "$REMOTE_HOST" bash

由于$REMOTE_HOST没有对用户提供的输入举行处置,可能会对SSH二进制文件注入随便参数。

皇冠登陆网址www.x2w333.com)实时更新发布最新最快的皇冠手机网址、皇冠手机网址线路、皇冠手机网址登录网址、皇冠手机网址管理端、皇冠手机网址手机版登录网址、新2手机皇冠登录网址。

SSH中有一个ProxyCommand的可选性,用来指定执行真实的SSH毗邻前要执行的下令。

连系以上,就可以使受害者打开一个恶意链接时在受害者主机上执行随便系统下令。

PoC

PoC示例历程如下:

1、安装 Visual Studio Code;

2、安装“Remote Development”扩展(https://marketplace.visualstudio.com/items?itemName=ms-vscode-remote.vscode-remote-extensionpack);

3、打开浏览器,接见URL: vscode://vscode-remote/ssh-remote+-oProxyCommand=C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -c msg %username% command_injection" "a@127.0.0.1+/a

4、确认打开 VSCode

5、选择随机的操作系统(Linux / Windows / MacOS)

6、注重powershell执行的含有“command_injection”新闻的弹窗。

 

通过编辑ProxyCommand也可以在Linux和macOS系统上复现同样的攻击。

补丁

现在,Visual Studio Code Remote Development Extension已经宣布补丁,研究职员建议用户尽快更新到v1.51及更高版本。

本文翻译自:https://www.shielder.it/advisories/remote-command-execution-in-visual-studio-code-remote-development-extension/

ug环球开户www.ugbet.us)开放环球UG代理登录网址、会员登录网址、环球UG会员注册、环球UG代理开户申请、环球UG电脑客户端、环球UG手机版下载等业务。

19 留言

  1. USDTOTC
    回复

    欧博APPwww.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

    贼精彩,想看下一节
  1. USDT自动API接口
    回复
    2022卡塔尔世界杯www.22223388.com)实时更新发布最新最快的2022卡塔尔世界杯网址、2022卡塔尔世界杯会员线路、2022卡塔尔世界杯备用登录网址、2022卡塔尔世界杯手机管理端、2022卡塔尔世界杯手机版登录网址、2022卡塔尔世界杯皇冠登录网址。
    可以看看,不会失望
    1. usdt币在哪里交易
      回复

      usdt自动充提www.caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

      不错的,能写成这样
    1. usdt无需实名交易
      回复

      Allbet电脑版下载www.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

      妹妹也看,真不错
  1. USDT不用实名交易
    回复

    欧博APP下载www.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

    真的甜吗
  1. usdt怎么购买
    回复

    Allbet代理www.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

    都是我没看过的
  1. 支付宝充值usdt
    回复
    41岁的沈腾成名作为影戏《夏洛特烦恼》,代表作为《西虹市首富》、《飞驰人生》,今年他已凭春节档影戏《你好,李焕英》取得优异票房,逾越黄渤成为中国影史票房第一的演员。每日一逛
    1. trc20官方交易平台
      回复
      和泉素行没设计戒酒:「适量吧,边睇波边饮啤酒吃零食,是种享受。我每星期两日做健身,有6嚿腹肌。(会否出写真?)有无人买㗎?」和泉素行来港生长逾10年,习惯香港饮食,最爱茶餐厅碟头饭,连「豆腐火腩饭」是男子的浪漫都知。发现了新大陆,好棒!
    1. trc20官方交易平台
      回复
      环球ug会员开户www.ugbet.us)开放环球UG代理登录网址、会员登录网址、环球UG会员注册、环球UG代理开户申请、环球UG电脑客户端、环球UG手机版下载等业务。
      总觉得你可以更好
      1. USDT自动充值
        回复
          目前尚不确定,左膝酸痛是否会导致字母哥缺席新赛季任何比赛。但可以预计的是,雄鹿队会在整个常规赛严格管理字母哥的上场时间,尤其是在经历了漫长的季后赛和缩短的休赛期。实力很强啊
    1. USDTOTCAPI
      回复
      再多点这种文
  1. usdt转账手续费
    回复

    USDT跑分网www.Uotc.vip)是使用TRC-20协议的Usdt官方交易所,开放USDT帐号注册、usdt小额交易、usdt线下现金交易、usdt实名不实名交易、usdt场外担保交易的平台。免费提供场外usdt承兑、低价usdt渠道、Usdt提币免手续费、Usdt交易免手续费。U担保开放usdt otc API接口、支付回调等接口。

    接下来是什么
  1. usdt充币教程
    回复
    因此,《中国新说唱》邀请周杰伦肯定是有这个想法的/。但是,如今这个IP的财务状况,可能挖来杰伦并不合适。我觉着这才是主要的原因。当然了,作为一个推广中文说唱的好平台,以后真的没准就能看到JAY和《新说唱》的合作。真不赖,好!
    1. usdt在哪里可以交易
      回复




      澳洲幸运5官网www.a55555.net)是澳洲幸运5彩票官方网站,


      开放澳洲幸运5彩票会员开户、澳洲幸运5彩票代理开户、


      澳洲幸运5彩票线上投注、澳洲幸运5实时开奖服务的平台。






      06.gif
      诶呦不错哦
  1. 泰达币交易所官网
    回复

    USDT交易平台www.Uotc.vip),全球頂尖的USDT場外擔保交易平臺。

    同事让我来的
  1. USDT充提教程
    回复
    是专职作家吗
  1. USDT手机钱包
    回复

    usdt跑分平台www.caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。

    你们打几分
  1. usdt官网下载
    回复

    Allbet Gmaingwww.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

    内容不错,继续加油。
  1. USDT自动充值
    回复

    U担保www.Uotc.vip),全球頂尖的USDT場外擔保交易平臺。

    试试看
  1. usdt数字货币交易平台
    回复

    Allbet Gmaingwww.aLLbetgame.us),欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。

    看的我浮想联翩
  1. USDT交易所
    回复

    澳5
    水友们评论刷起
  1. usdt充币教程
    回复

    USDT场外交易www.Uotc.vip),全球頂尖的USDT場外擔保交易平臺。

    总之就是精彩

评论

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。
验证码