unzip 解压_【安全研究】记一次由追踪溯源发现的“不安全解压getshell”

↑ 点击上方蓝色字关注我们

声明！

本文仅供学习和研究，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海青实验室及文章作者不承担任何责任。

安全狗海青实验室拥有此文章的修改和解释权，如欲转载或传播，必须保证此文的完整性，包括版权声明在内的全部内容，未经海青实验室同意，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

*本文所涉及到的案例中所有截图均是在复现、分析过程中获得的*

近日我们帮助某客户追踪溯源一例入侵事件时，发现黑客在获取服务器权限之前利用网站的“ZIP解压功能”上传了Webshell。由于此次的漏送利用方式在“攻击载荷的构造”与“实际解压路径”方面较有代表性，并且业界对“不安全解压”漏洞的关注度仍不够。因此我们编写了这篇报告，在报告中讲解了入侵溯源与漏洞发现的过程，并从安全开发和安全狗产品防护方案两个维度提出了一些安全建议，希望对行业有所补益。

值得注意的是，虽然该CMS已经做了相关防御配置，若在CMS的根目录下直接写入JSP文件是无法执行的，会报403错误。攻击者利用了war包会自动部署的特点，通过“目录穿越”的思路使war包跳出该CMS的根目录。

入侵溯源

某公司运维人员在