2023年8月20日，赛博昆仑捕获到利用QQ桌面客户端远程执行的漏洞，该漏洞为逻辑漏洞，攻击者可以利用该漏洞在QQ客户端上进行无需用户确认文件下载执行为，当用户点击消息链接时，QQ客户端会自动下载并打开文件，最终实现远程代码执行的目的。建议谨慎点击任何消息链接。

漏洞详情

• 漏洞名称：QQ客户端远程代码执行漏洞
  

• 威胁程度：
  该漏洞为逻辑漏洞，利用QQ客户端的逻辑缺陷进行攻击，被攻击方在点击消息内容（链接)时，不会弹窗提示，自动下载执行，在攻击者利用的层面，可降低攻击者钓鱼等攻击手段的难度。
  

• 漏洞类型：0day
  

• 厂商：腾讯
  

• 产品官网链接：https://im.qq.com
  

• 影响范围：QQ Windows版9.7.13及以前版本
  

• 漏洞所在功能模块：文档传输下载模块
  

• 漏洞攻击效果：远程代码执行

漏洞复现

创建个 .bat 文件，写入 calc 当作马子

echo "calc" > 1.bat

然后用QQ发送给自己，然后用手机去回复这条消息（电脑不能回复，所以只能用手机）

然后把最后这条回复的消息转发给目标

最后效果

记得关注公众号哦！

原文始发于微信公众号（安全灭火器团队）：腾讯QQ客户端远程代码执行0day 漏洞 复现