2023 年8月 20 日，赛博昆仑捕获到利用 QQ 桌面客户端远程执行的漏洞该漏洞为逻辑漏洞，攻击者可以利用该漏洞在 QQ 客户端上进行无需用户确认的文件下载执行行为，当用户点击消息链接时，QQ 客户端会自动下载并打开文件最终实现远程代码执行的目的。建议谨慎点击任何消息链接
漏洞简述
该漏洞为逻辑漏洞，QQ客户端的逻辑缺陷导致被攻击者在点击消息内容时，自动下载内容并进行执行
漏洞影响范围:
QQ Windows版9.7.13及以前的版本
漏洞复现
1.生成一个可执行文件。将此文件发给自己(以calc为例）
2.使用手机qq对这条信息进行回复
3.将改消息转发给被攻击者
4.目标点击该消息，成功自动下载并执行bat文件，并弹出计算器。无任何弹窗
![[PiKaChu靶场通关]RCE远程代码执行（上）](https://ucc.alicdn.com/pic/developer-ecology/3fd2a31c5250437bac75062127c02ef0.png?x-oss-process=image/resize,h_160,m_lfit)
![[PiKaChu靶场通关]RCE远程代码执行（下）](https://ucc.alicdn.com/pic/developer-ecology/602627bbbe2e4ed9ac325ab5cb34bd6e.png?x-oss-process=image/resize,h_160,m_lfit)