CVE-2020-7384
— 神龙十问 AI 深度分析摘要
CVSS 7.0 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Rapid7 Metasploit 的 `msfvenom` 工具在处理 APK 模板时存在 **命令注入** 漏洞。
💥 **后果**：攻击者可利用恶意 APK 文件，在受害者机器上 **执行任意系统命令**，完全接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：CWE-77 (命令注入)。
🛠 **缺陷点**：`msfvenom` 在处理 APK 模板参数时，未对输入进行严格过滤，导致恶意代码被拼接进系统命令中执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：Rapid7。
📦 **产品**：Metasploit Framework。
⚠️ **组件**：`msfvenom` 模块（特别是涉及 APK 模板生成时）。
Q4黑客能干啥？（权限/数据）
👑 **权限**：获得受害者当前用户权限（通常为本地系统权限）。
💾 **数据**：可读取、修改、删除任意文件；可安装后门、窃取敏感数据；可横向移动。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：中等。
🔐 **认证**：无需认证（PR:N）。
🖱️ **交互**：需要用户交互（UI:R），即受害者需运行生成的恶意 APK 或触发相关操作。
🌐 **攻击向量**：本地（AV:L），通常需将恶意文件置于本地或通过网络诱骗。
Q6有现成Exp吗？（PoC/在野利用）
📜 **有现成 Exp**：是的。
🔗 **PoC 链接**：GitHub 上已有多个 Bash 脚本实现的 PoC（如 nikhil1232, 0xCarsonS 等仓库）。
🚀 **利用方式**：直接运行 `.sh` 脚本即可生成利用载荷。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：
1. 检查 Metasploit 版本是否受影响。
2. 审计 `msfvenom` 调用 APK 模板的参数。
3. 扫描日志中是否有异常的 APK 生成命令或 shell 执行记录。
4. 使用 PacketStorm 提供的检测工具。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：Rapid7 已发布修复补丁（PR #14288）。
✅ **建议**：立即升级 Metasploit Framework 至修复版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1. **避免使用 APK 模板功能**，改用其他 payload 生成方式。
2. 严格限制 `msfvenom` 的使用权限和环境。
3. 对输入参数进行严格的白名单过滤（如果无法立即升级）。
Q10急不急？（优先级建议）
🔥 **优先级**：高。
📅 **CVSS**：H (高危)。
💡 **见解**：虽然需要用户交互，但 Metasploit 是安全人员常用工具，一旦误用或供应链污染，后果严重。建议 **立即升级** 并审查相关脚本。