深某服EDR漏洞分析与复现教程

漏洞概述

本教程将详细分析深某服EDR系统中存在的一个安全漏洞，该漏洞涉及未授权访问和变量覆盖导致的命令执行问题。

漏洞分析

1. 漏洞文件定位

漏洞存在于c.php文件中，该文件原本设计用于查看ldb日志，但存在以下安全问题：

• 未授权访问：该界面不需要登录即可访问
• 变量覆盖：通过extract()函数导致的安全问题

2. 关键代码分析

2.1 参数接收

$_REQUEST会将接入的参数保存成数组，然后将前台获取的参数传入到了$show_form()

2.2 匿名函数与外部变量

$show_form是匿名函数，use是调用外部变量$strip_slashes、$show_input

2.3 extract()函数问题

extract()函数会从数组中将变量导入到当前的符号表。它会把数组变成变量，该函数使用数组键名作为变量名，使用数组键值作为变量值。

安全问题：extract()存在变量覆盖问题，攻击者可以覆盖已有变量。

3. 漏洞利用原理

攻击者可以构造以下利用链：

1. 通过未授权访问直接访问c.php
2. 传入特定参数覆盖$strip_slashes和$host变量
3. 导致系统命令执行

具体利用方式：

$strip_slashes=system、$host=id

在代码第91行：

$strip_slashes($host)  // 实际变为system(id)

漏洞复现步骤

1. 环境准备

• 存在漏洞的深某服EDR系统
• 访问c.php文件的权限（无需登录）

2. 复现过程

1. 直接访问c.php文件
2. 构造恶意请求参数：

   ?strip_slashes=system&host=id
   

3. 观察服务器响应，应返回系统命令id的执行结果

3. 验证漏洞

• 成功执行系统命令证明漏洞存在
• 可尝试其他命令验证漏洞危害程度

漏洞修复建议

1. 授权验证：在c.php文件开头添加身份验证逻辑
2. 禁用危险函数：避免使用extract()或确保其安全使用
3. 参数过滤：对所有输入参数进行严格过滤和验证
4. 函数白名单：限制可调用的函数范围
5. 最小权限原则：确保Web服务器运行账户具有最小必要权限

总结

该漏洞结合了未授权访问和变量覆盖两个安全问题，最终导致远程命令执行，属于高危漏洞。开发人员应避免使用危险的PHP函数如extract()，并对所有敏感接口实施严格的访问控制。

参考

• PHP官方文档关于extract()函数的警告
• OWASP关于未授权访问和命令注入的安全指南
• 深某服EDR系统安全配置手册