0x01 背景

近年来，勒索病毒对互联网信息安全影响持续加大。在2017年，黑客借由美国国家安全局泄露出的漏洞攻击工具，利用高危漏洞Eternal Blue （永恒之蓝）在世界范围内传播Wanna Cry勒索病毒。此病毒短时间内“感染”了中国、美国、英国、日本、德国等近百个国家，超过1600家美国组织，11200 家俄罗斯组织受到了攻击。彼时，勒索病毒要求受害者支付价值300到600美元不等的比特币才能解锁，且赎金随着时间逐步提升，若不能按时支付赎金的系统、数据等就会被销毁。

0x02 近况

自2022年08月28日起，各大安全公司监测到很多主机被.locked后缀的勒索病毒加密，溯源发现由某企业管理软件存在0day漏洞导致的。

2.1 默认权限System

软件技术栈是基于 .NET FrameWork4.0、WebForm架构，上传DLL扩展名文件即可控制该服务器，因为这款软件运行时以System账户启动，权限远大于IIS默认给.NET账户的进程权限，所以该漏洞危害极大。而且漏洞触发的成本很低，因此各大安全厂商给的评分很高。如下图

2.2 漏洞触发原理

该系统某个接口存在图片上传，但此接口的上传逻辑判断不严谨可被绕过，而且该接口又存在未授权访问，这样导致可以上传任意文件到服务器，虽然系统采用了.NET预编译模式大大的提高了安全性，可惜这个上传漏洞可以跨目录将文件传入任意位置，攻击者整合这几条利用链将编译后的恶意DLL、compiled文件传入bin目录下，编译后的占位符aspx文件传入根目录下，请求根目录下 的aspx即可触发RCE漏洞。

2.3 漏洞先决条件

该系统上传功能首先判断了文件体积 PostedFile.ContentLength < 204800，不满足条件终止执行，再对文件头判断是否为图片PostedFile.ContentType，这两个条件形同虚设非常容易绕过

必须满足文件头类型	jpeg、bmp、gif、pjpeg
必须满足文件体积大小	204800

预编译有关的文章的请看这《干货 | .NET 文件上传多个场景绕过预编译限制获取Shell》

2.4 漏洞修复

官方已于8月30日发布安全更新补丁，请尽快下载更新修复。

0x03 学习

为了更好地应对基于.NET技术栈的风险识别和未知威胁，dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信任，通过星球深度连接入圈的师傅们，一起推动.NET安全高质量的向前发展。

星球汇聚了各行业安全攻防技术大咖，并且每日分享.NET安全技术干货以及交流解答各类技术等问题，社区中发布很多高质量的.NET安全资源，可以说市面上很少见，都是干货。其中主题包括.NET Tricks、漏洞分析、内存马、代码审计、预编译、反序列化、webshell免杀、命令执行、C#工具库及0day等等，后续还会倾力打造专刊、视频等配套学习资源，循序渐进的方式引导加深安全攻防技术提高以及岗位内推等等服务。

我们的运营团队将一如既往地继续为大家做好服务，如果感兴趣的话欢迎参加下方的优惠劵活动加入我们，机不可失噢！原价￥129当前只需￥99， 以后星球价格只会越来越高，对.NET安全关注的师傅们动动手加入我们吧！

dotNet安全矩阵知识星球 — 聚焦于微软.NET安全技术，关注基于.NET衍生出的各种红蓝攻防对抗技术、分享内容不限于 .NET代码审计、 最新的.NET漏洞分析、反序列化漏洞研究、有趣的.NET安全Trick、.NET开源软件分享、. NET生态等热点话题、还可以获得阿里、蚂蚁、字节等大厂内推的机会。

原文始发于微信公众号（dotNet安全矩阵）：预警 | 勒索病毒来势汹汹的卷入.NET技术栈