Clash爆高危漏洞！Clash.meta也中招！所有系统全中招！

这个漏洞的核心在于clash内核的路径穿越漏洞，也就是说，clash可以被远程控制，修改配置文件，并且可以在任何位置写入文件。这样就给黑客留下了可乘之机，通过构造恶意的配置文件和节点信息，就可以在用户的电脑上植入木马病毒。

具体来说，黑客可以利用clash提供的RESTful api接口来控制内部设置，并且支持CORS（跨域资源共享），也就是不同的域名可以共享相同的资源。这样一来，黑客可以在任何网站上调用clash的api接口，比如制作一个诱惑性的网址链接，诱导用户点击。当用户点击后，网站会先调用clash更换配置文件的api接口，让用户电脑里的clash加载黑客网站里的配置文件。而黑客配置文件里包含了Proxy Provider（节点提供者），也就是让clash去另一个网址里面下载节点信息。而这个网址里面除了有节点信息，还有黑客精心构建的恶意指令。

到这一步其实都没有太大问题，因为光下载了恶意指令，并没有执行的话，并不会中招。问题就出在clash的路径穿越漏洞上，这些恶意指令可以被下载到电脑里的任何位置，比如开机自启的位置或者powershell的默认配置位置。当用户重启电脑或者打开powershell的时候，就会自动加载恶意指令。这样就中病毒了。

漏洞危害

这个漏洞的危害非常大，因为一旦中病毒，用户的电脑就完全暴露在黑客的掌控之下。黑客可以利用远程控制软件给用户的电脑发送指令，比如弹出计算器、监控屏幕、控制鼠标键盘、浏览文件、上传下载文件等等。甚至还可以利用木马病毒窃取用户的隐私数据、敲诈勒索、传播更多病毒等等。如果用户电脑上有重要或者敏感的信息，那么后果不堪设想。

解决方法

[要解决这个问题，最简单有效的方法就是升级clash内核到最新版本（目前是v1.8.0），因为最新版已经修复了路径穿越漏洞。如果你使用的是clash的GUI界面，比如clash for windows或者clash.meta，那么也要及时更新到最新版，或者切换到最新版的内核。如果你有特殊情况不想升级，那么也可以通过修改api接口的端口和授权密码来防止跨域攻击。]

[总之，安全这方面多重视都不为过，很多人的安全意识非常薄弱，所以电信诈骗才会那么猖獗。如果你认为是制造焦虑的话，看完下面这个情况就不会这么认为了。某站点爆出了8,000多条结果，这些是什么？是在公网开放的clash api的肉鸡。我敢肯定，这些人99.9%没有升级到最新版，所以大部分都存在路径穿越漏洞，而且由于暴露在公网环境下，更容易被黑客发现和利用。所以，请大家一定要及时更新clash内核和GUI界面，保护好自己的电脑安全。]

未经允许不得转载：大神网 » Clash爆高危漏洞！Clash.meta也中招！所有系统全中招！