当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-08758

漏洞标题：利用微软回收站隐藏文件

相关厂商：微软

漏洞作者： ccrk

提交时间：2012-06-25 14:49

修复时间：2012-06-25 14:49

公开时间：2012-06-25 14:49

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：4

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-06-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-06-25： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

在webshell中新建或上传文件到回收站中，始终隐藏且无法直接打开，可以在DOS或webshell中查看和运行，且回收站无法清空该文件。这个漏洞很鸡肋吧。。（win 7 xp 都可以，别的没有测试）

详细说明：

我们利用webshell新建一个文件夹在Q:\$RECYCLE.BIN\S-1-5-18\中

保存后我们可以看见文件为43K

而在系统中我们无法直接看见文件

且文件无法直接运行，文件大小为 0 K。

但在CMD和webshell中却可以直接访问。而清空回收站却无法删除该文件。这个错误在xp win7都存在（别的没有测试）

漏洞证明：

修复方案：

这个看各位大牛了，小弟也是偶然发现。

版权声明：转载请注明来源 ccrk@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：8 (WooYun评价)

漏洞评价：

评论

  1. 2012-06-25 16:18 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    。。。这也行？ 你见过那个文件在回收站能运行的？

  2. 2012-06-25 16:30 | Wdot ( 实习白帽子 | Rank:77 漏洞数:12 | it came too later)

    进入到Q:\盘根目录，右键点击 $RECYCLE.BIN ，弹出菜单选择－“添加到xx.rar”,打开压缩包，所有的隐藏文件都会现行了

  3. 2012-06-25 17:11 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    @Wdot 经常用这方法跳过一些终端设备

  4. 2012-06-26 01:08 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    @piaoye 我刚在Windows 7测试过了，可以成功运行里面隐藏的程序。Windows 8中，文件复制不进去

  5. 2012-06-26 11:08 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    @冰锋刺客 ...这么牛逼。

  6. 2012-06-26 22:34 | Wdot ( 实习白帽子 | Rank:77 漏洞数:12 | it came too later)

    cmd下可以运行，自己试试就知道了

  7. 2012-06-26 23:14 | 冰锋刺客 ( 普通白帽子 | Rank:113 漏洞数:14 | 请在监护人陪同下与本人交流)

    @piaoye 不牛逼。我有把回收站清空，但是文件还是在那，并没被删。于是就有个想法，假使把木马下载到这里，是不是可以逃过杀软

  8. 2012-06-27 09:00 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    @冰锋刺客 我理解错了，以为是正常操作下的直接运行。现在的杀软都有清理垃圾功能吧，不知道能清除不。我没环境。

  9. 2012-08-30 18:41 | ccrk ( 路人 | Rank:8 漏洞数:1 | 网络)

    @冰锋刺客 貌似不行吧，你试试。

  10. 2012-08-30 18:42 | ccrk ( 路人 | Rank:8 漏洞数:1 | 网络)

    @piaoye 貌似不行额，清除不掉