HW弹药库之深信服EDR 3.2.21 任意代码执行漏洞分析

2020-9-10 / 0 评论 技术文章 / Mrxn

本文共计 597 字,感谢您的耐心浏览与评论.

漏洞原理:

F012EE50-3707-413D-82C6-C9F7718759E9.png


dev_linkage_launch.php 为设备联动的新入口点主要是将联动的接口构造成业务统一处理的接口

主要调用

E8268018-6639-4801-AF13-BB3F0FF6829A.png


跟进

BE3A4B01-2ED7-4CAC-86F2-343DC6D79EBC.png


可以看到 第一个检查为  $req_url = $_SERVER['PHP_SELF'];

绕过第一个检查:

在他们系统nginx配置文件里面:

CBA339A6-1CB7-4BE2-AF11-3EADD2B5C33D.png


通过nginx规则可以得知,他们没有设置禁止外网访问.从而可以直接访问

/api/edr/sangforinter/v2/xxx 绕过 第一个检查

第二检查: 权限检查

F3B31647-71BB-42D6-91CC-09C3F529E61A.png


跟进check_access_token

5D03BF41-9387-480E-B8F9-ED660ABAD1D4.png


这里if($md5_str == $json_token["md5"]) 引发第二个漏洞: php弱类型导致的漏洞

绕过只需要传入一个base64编码的json内容为 {“md5”:true}即可


至此 权限检查绕过完毕

来到  process_cssp.php 文件

9894AD7B-B9B9-4911-B455-354B4662E43A.png


存在任意指令执行漏洞.作者试图使用escapeshellarg函数去给单引号打反斜杠实际上是毫无作用的.

绕过:{"params":"w=123\"'1234123'\"|命令"}


结果如下:

6A999ACE-9B45-4BBD-AC7A-F7675192C15B.png


返回:

C798DE63-2AC0-4AC5-B8FF-716924FC7ECB.png



标签: 渗透测试 黑客 rce

转载:转载请注明原文链接 - HW弹药库之深信服EDR 3.2.21 任意代码执行漏洞分析


0条回应:“HW弹药库之深信服EDR 3.2.21 任意代码执行漏洞分析”


发表评论

{view_code_no}