正在获取URL...

chainreactors: 16 个URL BruceFeIix: 20 个URL Doonsec: 38 个URL 总共去重后: 42 个URL (9.9分) CVE-2026-84869：ScreenConnect 任意文件执行，野外已出现蠕虫式传播、深科特LEAN MES系统 WarehouseCheck.ashx SQL注入漏洞、
2026-10-27 19:10:56 +00:00 · 2026-09-13 15:42:27 +00:00
1 parent ae3afdc06e
commit d19a5c22b9
@@ -26784,5 +26784,7 @@
    "https://mp.weixin.qq.com/s/J7BBAqVBqEAcgKW0Rf5mUQ": "暗网惊现macOS 0day本地提权exp：兼容Big Sur到26.5",
    "https://mp.weixin.qq.com/s/gBv4VTbLKQt-UFbv44Li1w": "黑客可将存在漏洞的 LiteLLM AI 网关转化为获取 root 权限和窃取云凭证的途径",
    "https://mp.weixin.qq.com/s/HikwWitv49UYV9hO1h-4hw": "被改写的系统服务：IDM 内核驱动 CVE-2026-90493 提权",
-    "https://mp.weixin.qq.com/s/bxDoc8f55krA-cR3urfIIg": "GitLab CVE-2026-85706 未授权任意文件读取分析：一个末尾斜杠打穿的满分漏洞"
+    "https://mp.weixin.qq.com/s/bxDoc8f55krA-cR3urfIIg": "GitLab CVE-2026-85706 未授权任意文件读取分析：一个末尾斜杠打穿的满分漏洞",
+    "https://mp.weixin.qq.com/s/ljrlhFcm7nKvKWTAf1SDKg": "(9.9分) CVE-2026-84869：ScreenConnect 任意文件执行，野外已出现蠕虫式传播",
+    "https://mp.weixin.qq.com/s/Kmd3VSRg5I0A-324hgWIsw": "深科特LEAN MES系统 WarehouseCheck.ashx SQL注入漏洞"
 }
@@ -0,0 +1,112 @@
+#  (9.9分) CVE-2026-84869：ScreenConnect 任意文件执行，野外已出现蠕虫式传播  
+红队安全圈
+                    红队安全圈  红队安全圈   2026-09-13 12:00  
+  
+ScreenConnect 客户端文件传输缺陷，会话内文件可未授权直接执行，野外已经出现蠕虫式传播。连一台被感染的机器，运维自己也会中招。这篇把攻击链、排查命令和修复一次讲透。  
+  
+## 01  引言  
+  
+远程运维工具 ConnectWise ScreenConnect 爆出   
+CVSS 9.9 的客户端漏洞 CVE-2026-84869：活跃远程会话中的文件传输可以在没有授权、没有 Host 端确认的情况下直接执行。官方已确认在野利用，KEV 收录，修复版本 26.6.5 已发布。更麻烦的是，野外已经观测到攻击者用篡改过的 ScreenConnect 客户端把恶意脚本推向新连接的终端，呈蠕虫式扩散。  
+  
+## 02  漏洞速览  
+  
+漏洞编号  
+CVE-2026-84869  
+  
+影响产品  
+ScreenConnect 客户端（Server 不受影响）  
+  
+漏洞类型  
+权限管理缺陷 + 授权缺失（CWE-269/862）  
+  
+危害等级  
+CVSS 9.9 Critical  
+  
+是否在野  
+是，官方确认在野利用并收录 KEV  
+  
+公开 PoC  
+官方披露仓库已公开技术细节  
+  
+攻击前提  
+活跃远程会话，客户端侧文件传输  
+  
+## 03  漏洞成因  
+  
+根因在客户端的文件传输处理逻辑。Client Support 和 Access 会话里，文件传输动作本来应由 Host 端确认并做权限校验，但特定情况下这套校验会被完全绕过：文件传输可以静默通过，直接落到客户端系统上执行，甚至包括提权执行动作。  
+  
+关键在攻击方向：ScreenConnect 服务器本身不受影响，被打的是装在终端上的客户端。攻击者只要控制了一个会话——比如社工诱导装了恶意 ScreenConnect 实例——就能借这个洞把文件推进目标机器直接运行，全程不用等 Host 确认。  
+  
+## 04  影响范围  
+  
+26.6.5 之前的所有版本均受影响，云端与本地部署都中招，修复版本为 26.6.5。ScreenConnect 是 MSP（托管服务商）和大量企业 IT 的标配远程运维工具，装机量极大；本地部署实例往往没人盯版本，实际受影响面比云端更大。  
+  
+## 05  在野攻击链分析  
+  
+8 月底的三起独立事件已经把完整攻击链摆了出来，套路高度一致。第一步是社工：有受害者被诱导打开 Windows 自带的 Quick Assist 远程协助，有受害者下载伪装的 ScreenConnect.ClientSetup.msi，还有人搜 Geek Squad 退款表单时被引导装了恶意客户端。  
+  
+客户端上线后，ScreenConnect.WindowsClient.exe 开始反复拉起 wscript.exe，依次执行四个 VBScript 文件（1.vbs 到 4.vbs）。这是一条四级分诊的加载链：  
+  
+1.vbs 给主机画像，生成 3 位状态值写入 %TEMP%\value.txt：是否已装 ScreenConnect、是否只装了 Microsoft Defender（枚举 Huntress、CrowdStrike、SentinelOne 等 EDR 名单）、内存是否超过 5GB（反沙箱）。已装 ScreenConnect 直接写 abort 终止。  
+  
+2.vbs 等 value.txt 出现且不含 abort，就从 Dropbox 下载 map.txt——base64 解码后用单字节 XOR 90 解出载荷目录，格式为 状态值=URL|AES密钥。  
+  
+3.vbs 按状态值选载荷：000/001 拉 user.enc（用户级后门），010 拉 acc.enc（提权加持久化），011 拉 combo.enc（隧道工具加挖矿木马）。  
+  
+4.vbs 用 map.txt 里的 AES 密钥 CBC 解密载荷，落成 sys_cache.zip 后执行 PyTorchFix.ps1，随即杀掉所有 wscript/cscript 进程、删除暂存目录。  
+  
+010 分支的 PyTorchFix.ps1 最能打：用内联 C# 编出 Password.exe，配合劫持 ms-settings 协议处理器借 ComputerDefaults.exe 做 UAC 绕过；提权后设置 AMSI bypass、把整个 C:\Users 加进 Defender 排除目录，然后装一个隐藏的 ScreenConnect 客户端——删注册表卸载项、加服务安全描述符，让它从系统里隐身。  
+  
+蠕虫式传播是这条链最狠的地方。被篡改的客户端持续监听 ScreenConnect 的连接集合，一旦发现新的 Host 会话接入，就把四个 VBS 文件打包成文件传输消息、动作设为 Run，直接推给服务端的 Host。也就是说，  
+运维人员连上一台被感染的机器，他自己的系统就会收到并执行同一套恶意脚本。客户端还会记录 ConnectionID 避免重复感染，断开后删除记录，等下次重连再来一遍。  
+  
+011 分支还附带：关闭 Defender 报告与通知、禁用 HVCI、用伪装成 Themes.exe 的 wstunnel 隧道到 homehub.opik[.]net:443、跑改名 SearchIndex.exe 的 XMRig 挖矿，并用易受攻击的 WinRing0 驱动（svcdrv64.sys）做内核加载。  
+  
+## 06  检测与排查  
+  
+排查 ScreenConnect 服务器审计日志，出现 RunFiles 或 RanFiles、执行来源是 Process: Guest、涉及 1.vbs 到 4.vbs 这类脚本文件，立即隔离重装。文件名随时会换，任何 Windows Script Host 或 PowerShell 脚本执行迹象都要警惕。  
+  
+终端侧可以查这几项：  
+  
+reg query HKCU\...\Run  
+  
+  /v WindowsServiceHost  
+  
+dir %TEMP%\value.txt  
+  
+dir C:\Users\Public\Libraries\  
+  
+  Default\Lib\Lib1  
+  
+# 查注册表持久化与暂存文件  
+  
+异常的 ScreenConnect 客户端 ID   
+7a4d7d66502d4260 出现即可直接判定失陷。  
+  
+## 07  修复建议  
+  
+升级到 ScreenConnect   
+26.6.5 或更高版本，云实例已由官方统一修复，本地部署重点排查。升级前的临时缓解：检查角色权限里的 TransferFiles（旧版本叫 TransferFilesInSession）选项，确认不需要就关掉。处置建议很直接：疑似中招的机器不要尝试清理，直接用可信介质重装。  
+  
+## 08  红队视角  
+  
+这个洞的价值不在漏洞本身，而在它把 RMM 滥用串成了完整闭环。过去攻击者用 ScreenConnect 是借助它合法运维工具的身份躲白名单；现在连装完之后怎么批量推载荷都有了内建通道——蠕虫化的文件传输意味着一台失陷，整个运维平面跟着沦陷。  
+  
+防守方把监控重心放在客户端进程的子进程行为上：ScreenConnect.WindowsClient.exe 拉起 wscript.exe 本身就是强告警信号。红队评估客户环境时，ScreenConnect 这类 RMM 的部署面和版本管理应该单独列一项检查——大量 MSP 环境的本地实例根本没人管版本。  
+  
+## 09  POC 链接  
+  
+https://github.com/ConnectWise-Advisories/Disclosures/tree/main/CVE-2026-84869  
+  
+https://www.huntress.com/blog/rogue-screenconnect-installations  
+  
+说明：官方漏洞披露仓库与 Huntress 攻击链完整分析（含 IOC 清单）。  
+  
+  
+如果文章对您有收获，欢迎**关注**  
+、点赞、推荐、转发。  
+  
+— END —  
+  
+  
@@ -0,0 +1,120 @@
+#  深科特LEAN MES系统 WarehouseCheck.ashx SQL注入漏洞  
+Superhero
+                    Superhero  Nday Poc   2026-09-13 11:28  
+  
+![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkYN4sZibCVo6EFo0N9b7Kib4I4N6j6Y10tynLOdgov9ibUmaNwW5yeoCbQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=8n1b48rw&tp=webp#imgIndex=0 "")  
+  
+![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkhic5lbbPcpxTLtLccZ04WhwDotW7g2b3zBgZeS5uvFH4dxf0tj0Rutw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=vx7xykg3&tp=webp#imgIndex=1 "")  
+  
+![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCk524CiapZejYicic1Hf8LPt8qR893A3IP38J3NMmskDZjyqNkShewpibEfA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&randomid=x3261qcu&tp=webp#imgIndex=2 "")  
+  
+内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的  
+POC  
+信息及  
+POC对应脚本  
+而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！  
+  
+  
+**01**  
+  
+**漏洞概述**  
+  
+  
+深科特LEAN MES WarehouseCheck.ashx 接口存在SQL注入漏洞，未经身份验证的远程攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。  
+**02******  
+  
+**搜索引擎**  
+  
+  
+fofa:  
+```
+title="LEAN MES - 用户登录" || body="Content/js/skt.utility.checkmobile.js" || body="../MobileApp/VerifyError.aspx" || body="Content/login/login2/multiplant_top.png"
+```  
+  
+![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1heN7FwXlRufg86XPH3MluRpNkQRHXf7j5ib1hghkbpurrEEQgpD33wfLbKBfuDpN4tn7jnz2hCMNsnd388Ky2ib8a7GZyZazl2o/640?wx_fmt=png&from=appmsg "")  
+  
+  
+**03******  
+  
+**漏洞复现**  
+  
+![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1hmaichNEeEpFuosiaiaJ91RCTDZRdf1ZaxpicWq9qDtyh5TEScPzT3qMGFKWIiaJ6QfER73cu7jz0SfImYd3gU8CoTMsiarfict9PsXk/640?wx_fmt=png&from=appmsg "")  
+  
+  
+**04**  
+  
+**自查工具**  
+  
+  
+nuclei  
+  
+![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1hHq2EWky1ZwHHtVMxpxSJlViaBnwORhebjzfqVQ1503Xjeia2sVIYTKA5lHgbTGwdxBA6Tx90KPWChIreCmpZibZcdYPbvwwLFL0/640?wx_fmt=png&from=appmsg "")  
+  
+afrog  
+  
+![](https://mmbiz.qpic.cn/mmbiz_png/8o9dnzNIF1jnYClD3AHgkaWfLRbAqTVDc4gkDdm9ZS7icoX8E5IXjY98ibMDlWIkFBy3VCUX31577I3gC5UKnSLwtlQXL07hdib93Y5icIib1L0Q/640?wx_fmt=png&from=appmsg "")  
+  
+  
+**05******  
+  
+**修复建议**  
+  
+  
+1、关闭互联网暴露面或接口设置访问权限  
+  
+2、升级至安全版本  
+  
+  
+**06******  
+  
+**内部圈子介绍**  
+  
+  
+【Nday漏洞实战圈】🛠️  
+  
+专注公开 1day/Nday 漏洞复现 · 工具链适配支持  
+  
+  
+━━━━━━━━━━━━━━  
+  
+  
+🔍 资源内容  
+  
+▫️ 整合全网公开 1day/Nday 漏洞 POC 详情  
+  
+▫️ 适配 Afrog / Nuclei 检测脚本  
+  
+▫️ 支持内置与自定义 POC 目录混合扫描  
+  
+  
+🔄 更新计划  
+  
+▫️ 每周新增 7-10 个实用 POC（来源公开平台）  
+  
+▫️ 所有脚本经过基础测试，降低调试成本  
+  
+  
+🎯 适用场景  
+  
+▫️ 企业漏洞自查 ▫️ 渗透测试 ▫️ 红蓝对抗 ▫️ 安全运维  
+  
+  
+━━━━━━━━━━━━━━  
+  
+  
+📥 入圈方式  
+  
+关注公众号后，点击底部菜单「加入圈子」，自动获取入圈二维码。  
+  
+  
+⚠️ 重要声明  
+  
+▫️ 仅限合法授权测试，严禁违规使用  
+  
+▫️ 虚拟资源服务，购买后不接受任何形式退款  
+  
+▫️ 付款前请评估需求，慎重考虑  
+  
+▫️ 本圈POC脚本严禁对外传播、分享或转发，违者立即移出圈子并永久拉黑，不予解封  
+  
+