深信服 EDR终端检测响应平台RCE漏洞代码分析

一觉醒来,听说护网蓝队捕获了一个深信服的0day,待我看完这部剧再分析一下。

EDR简介

终端检测响应平台(EDR)是深信服公司提供的一套终端安全解决方案,方案由轻量级的端点安全软件(Agent)和管理平台(MGR)共同组成。

fofa语法

title="终端检测响应平台"

漏洞复现

https://ip+端口/tool/log/c.php?strip_slashes=system&host=id

代码分析

将c.php文件拷贝到本地进行分析

 

 $_REQUEST会将接入的参数保存成数组,然后将前台获取的参数传入到了$show_form()

跟入$show_form

$show_form是匿名函数,use是调用外部变量$strip_slashes、$show_input

extract() 函数会从数组中将变量导入到当前的符号表。它会把数组变成变量,该函数使用数组键名作为变量名,使用数组键值作为变量值。

因此,extract()存在变量覆盖问题,上述poc就是利用了此处的变量覆盖。

于是传入的参数就变成了$strip_slashes=system、$host=id

接着往下看,

在93行中使用了$strip_slashes($host),结合poc,于是该处就变成了sysytem(id)执行了系统命令,产生了该漏洞。

从下图可以看到,本来$strip_slashes也是匿名函数,该函数的作用就是删除变量$var中的反斜杠\

继续分析tool文件下的其他PHP文件,搜索了一下extract,发现好多文件都可能存在这个变量覆盖导致的rce漏洞

随机挑选一个web\tool\ldb_cli.php进行分析:

160行接参数,保存成数组

77行将参数传入函数当中

构造tool/ldb_cli.php?strip_slashes=sysgem&json=whoami应该可以运行成功,然后当我进行测试的时候并没有,

这是为什么了,一开始我以为可能是偶然现象,环境或者网络的问题。今天有空又想到了这个问题,就又来看看代码。

原来就在文件开头, 有个判断

如果不存在/php/enable_dc_tool文件,则执行die,退出当前这个脚本,后门都不执行了。

如果存在/php/enable_dc_tool文件,则执行touch($dc_tool_flag, time()),修改这个文件的修改时间

再看看tool\show_progress.php,也是同样的情况。

已标记关键词 清除标记
©️2020 CSDN 皮肤主题: 创作都市 设计师:CSDN官方博客 返回首页