向日葵RCE（CNVD-2022-10270/CNVD-2022-03672）

漏洞简介

上海贝锐信息科技股份有限公司的向日葵远控软件存在远程代码执行漏洞（CNVD-2022-10270/CNVD-2022-03672），影响Windows系统使用的个人版和简约版，攻击者可利用该漏洞获取服务器控制权。

影响范围

向日葵个人版for Windows <= 11.0.0.33

向日葵简约版 <= V1.0.1.43315（2021.12）

漏洞复现

安装受影响版本的向日葵

https://github.com/Greetdawn/SunloginClientRCE/blob/master/SunloginClient_12.5.0.44227_x64.exe

向日葵在启动的时候会随机启动一个4W+高位端口,可以在sunlogin_service日志中看到,这里可以看到启动了一个51653的高位端口

根据日志文件找到session中存在CID字段

随后载入IDA，对CID关键字进行搜索

sub_140E20938 、 sub_140E1C954 、 sub_140E1A1F4 往上跟发现分别对应接口 /cgi-bin/rpc 和 /cgi-bin/login.cgi

其中在函数sub_140E1C954对应接口功能 /cgi-bin/rpc 中，传入如下参数即可在未授权的情况下获取到有效session

通过获取到的session值构造cookie,配合ping命令拼接执行任意代码