向日葵远程命令执行漏洞分析
0x00 相关报道
CNVD: https://www.cnvd.org.cn/flaw/show/CNVD-2022-10270
向日葵团队: https://www.oray.com/announcements/affiche/?aid=774
0x01 程序详情测试程序版本为11.0.0.33162,官网目前只开放12.5版本,但是可以遍历下载ID进行下载向日葵为C++编写,使用UPX3.X加壳故此分析前需要进行脱壳处理(github上有UPX项目,可以直接脱)此外向日葵在启动的时候会随机启动一个4W+高位端口并记录在日志中,具体在sub_140E0AAE8可看到
0x02 根据日志找session社会孙在视频中有一段疑似session的字符串根据这段疑似session的关键字在向日葵一次正常远程的日志中找到了关键字CID随后载入IDA,对CID关键字进行搜索找到3个函数存在CID关键字字符串sub_140E20938、sub_140E1C954、sub_140E1A1F4往上跟发现分别对应接口/cgi-bin/rpc和/cgi-bin/login.cgi 其中在函数sub ...