diff --git a/data.json b/data.json index 702b6537..d1b40955 100644 --- a/data.json +++ b/data.json @@ -21983,5 +21983,6 @@ "https://mp.weixin.qq.com/s/-gQNyUgJwENdpw6ce7MeqA": "\"中国版Mythos\"图龙锋接入山石网科，AI漏洞挖掘能力拓展至网安产品", "https://mp.weixin.qq.com/s/VcVF1LrtIc2DL-1wgvYtuw": "\"中国版Mythos\"图龙锋接入山石网科，AI漏洞挖掘能力拓展至网安产品", "https://mp.weixin.qq.com/s/cZQMfzJhKPT6AwgjoT2wWw": "CNNVD通报OpenClaw多个安全漏洞", - "https://mp.weixin.qq.com/s/0BkiOD8GrBTgLsF7InfNIw": "【安全圈】电商平台前员工利用系统漏洞，0元购3000多件家电" + "https://mp.weixin.qq.com/s/0BkiOD8GrBTgLsF7InfNIw": "【安全圈】电商平台前员工利用系统漏洞，0元购3000多件家电", + "https://mp.weixin.qq.com/s/Fqby_u4cAGcGi_cR578zmA": "漏洞预警： 普华PowerPMS两漏洞组合 无需账号拿下服务器" } \ No newline at end of file diff --git a/doc/2026-08/漏洞预警： 普华PowerPMS两漏洞组合 无需账号拿下服务器.md b/doc/2026-08/漏洞预警： 普华PowerPMS两漏洞组合 无需账号拿下服务器.md new file mode 100644 index 00000000..749d1015 --- /dev/null +++ b/doc/2026-08/漏洞预警： 普华PowerPMS两漏洞组合 无需账号拿下服务器.md @@ -0,0 +1,101 @@ +# 漏洞预警： 普华PowerPMS两漏洞组合 无需账号拿下服务器 +宝十八 + 宝十八 网络安全老宋 2026-08-09 04:00 + +**导语：** + 你好，我是网络安全老宋。 +安全攻防干货准时送达！ + +
网络安全老宋
漏洞预警 · K0019
+ +// 网防技-202608-K0019 · 8月6日发布 +# 甲方运维注意：普华PowerPMS两漏洞组合无需账号拿下服务器 + +一个能绕过登录，一个能写WebShell——两个老漏洞叠一起，等于把钥匙和撬棍一起递给黑客。 + +鉴权绕过 +文件上传 +服务器失陷 + +🔑 一句话精华 +鉴权绕过加文件上传，等于把服务器钥匙和写入权限一起交给黑客。 + +8月6日，发布安全风险预警，而且是拉着中国海洋石油集团一起发的。普华PowerPMS管理系统被扒出两处高危漏洞：一个能绕过登录直接调接口，一个能往服务器写恶意的 + .aspx +  +文件。 + +单看其中一个都不算新鲜，可两个叠在一起，攻击者从头到尾不用一个账号密码，就能摸进服务器、种下后门、把项目库翻个底朝天。 + +你的单位跑PowerPMS吗？ + +PowerPMS不是小众玩具。普华科技自己的客户清单里，中国石油、中国海油、中国石化、国家管网、中国建筑、中国电建这些能源工程央企全在列，浦东机场、各大地铁、中广核也都在用。它管的是项目计划、执行监控、业务反馈——一家工程企业的核心商业秘密，几乎都在这套系统里。换句话说，中招的不只是技术事故，很可能是商业机密外泄。 + +## 01两处漏洞组合，才是要命的地方 + + +鉴权绕过那一个，出在 + /Plan/BatchHandleFeedBackRecord +  +接口。正常情况你得先登录，系统才让你查项目计划。这个接口偏偏不做校验，攻击者发个请求就能直接把项目数据读出来、改掉。文件上传那一个，出在 + /PowerPlat/.../snapshot.aspx +，对上传文件的类型、内容、保存路径几乎不检查，还放行得很松。 + +一条完整攻击链 · 全程无需账号密码 +
01鉴权绕过
     直接调接口，绕过登录拿访问权
02文件上传
     借快照接口把恶意脚本写进服务器
03WebShell落地
     写入可执行的.aspx目录
04控制服务器
     翻项目库、种后门、横向移动
+ +这套打法一点都不新，同行早就在别家的系统上跑通过。致远OA那个经典的漏洞链，就是先用未授权接口骗到一个有效的JSESSIONID当登录凭证，再借文件上传把压缩包解压到Web目录落地WebShell，几分钟拿下管理员权限，红队在对抗演练里就是这么干的。PowerPMS这次的两条，本质是一模一样的组合拳——你只盯着"文件上传"一个点去修没用，攻击者是从你根本没设防的鉴权入口进来的。 + +![](https://mmbiz.qpic.cn/mmbiz_png/yJLbez93flicCicKYxJ4WDS4gSRDIDEI6MEuhq0njjrgXtHWOYx1ZhhaemN1PDMoHBNwQDCOLyBtnvJxbNwB8XNKIiaMhyA4sGSsia5Thtbjm6g/640?wx_fmt=png&from=appmsg "") + +## 02更能命的是能偷走什么 + + +项目计划、业务反馈这些字段，落到能源工程央企手里，就是投资规模、供应商名录、投标报价、施工节点这类核心数据。一旦被拖库，竞争对手拿着报价去投标，项目方连反应时间都没有。而且这事已经不只关系"系统安不安全"——只要发生敏感数据泄露，企业就撞上了《数据安全法》第27条、第29条：在等保基础上履行数据安全义务、发现漏洞立即补救并报告。 + +⚠️ 合规红线 +已有企业因"系统存在高危漏洞且整改不力"被网信办按《数据安全法》第45条处罚：轻则警告加 + 5万元 +，造成严重数据泄露的可达 + 50万–200万元 +。中招之后不是补个洞就完事，可能还要面对监管。 + +## 03先确认中没中 + +
R1查是否部署这次影响"通用版本"，覆盖面比你想的大，别凭印象说"我们没用"。
R2翻日志找绕过在IIS/WAF/反代日志里找 GET /Plan/BatchHandleFeedBackRecord，挑返回200但无Cookie/Authorization的，按源IP与时间聚合，重点看短时间查一堆项目、非业务时段从公网过来的。
R3查上传接口检索 POST .../snapshot.aspx，看参数有没有 cmd、powershell、盘符路径、目录跳转，或 .aspx/.ashx 等可执行扩展名，再对服务器新文件创建时间。
+## 04没补丁前先止血 + + +在WAF上给这两个路径加规则，把没带合法会话的访问和可疑上传请求拦在门外，这是最快的临时补丁。上传目录把脚本执行权限关掉，就算有人传上来也跑不起来。临时让那个打印快照接口对非业务时段、非内网来源返回403，等业务不依赖时干脆注释掉路由。等官方补丁一发布，立刻升级，再把鉴权和上传校验补上。 + +  +  +  +⏺ Nginx · 上传目录禁执行 +``` +``` + + +// 老宋说 +技术本质： +这不是两个漏洞，是一类设计缺陷的两次出现——把"能访问"和"能写入"两道门同时虚掩，攻击者自然长驱直入。 +行业观察： +这类业务系统天天在跑，却长期不在等保和漏洞扫描的重点清单上，等出事才想起补，代价往往是商业机密加罚款一起挨。 +对读者的建议： +今天就去翻日志确认那两个接口有没有被扫过，有WAF的先把虚拟补丁上了，别等监管先找上门。 + + +防御，不是在演练期间发现攻击，而是在演练开始前就把攻击面收敛到最小。 + +end + + + +不想错过文章内容？读完请点一下**“在看** +**”** +，加个**“****关注”** +，您的支持 +是我创作的动力 + +期待您的一键三连支持（点赞、在看、分享~） +