向日葵远程桌面存在远程代码执行漏洞

远程

向日葵

漏洞

代码

51 条回复 • 2022-02-19 11:01:51 +08:00

1

ClericPy

2022-02-16 21:56:00 +08:00

好奇 manjaro 上和 Ubuntu 上用的有没有影响

2

justNoBody

2022-02-16 23:37:25 +08:00

404 了有 fork 么

3

jinliming2

2022-02-17 00:13:23 +08:00

@justNoBody github 上搜仓库名，可以搜到 fork

4

LeeReamond

2022-02-17 01:39:02 +08:00

好奇啥原理，有无 go 大佬快速浏览代码看一遍

5

LeeReamond

2022-02-17 02:07:56 +08:00

@LeeReamond 以一小时 go 语言编程经验的水平看代码感觉是向日葵的临时工行为

6

yuedingwangji

2022-02-17 02:20:19 +08:00

这么刺激么，国内用向日葵不少呀

7

x86

2022-02-17 06:37:41 +08:00 via iPhone

好东西呀

8

musi

2022-02-17 07:06:03 +08:00

感觉没啥用哇，需要对方是公网 ip 才可以扫，我要是有公网我肯定不用向日葵，就算有公网同时用了向日葵我也不会把向日葵监听的端口映射出去。所以这最多就扫个同一内网下的机器

9

Lentin

2022-02-17 08:17:13 +08:00 via iPhone

@musi 向日葵会自动开启 upnp😮‍💨

10

NGGTI

2022-02-17 08:38:38 +08:00

升级一下新版就行了

11

neroxps

2022-02-17 08:44:47 +08:00

https://github.com/heyzm/sunlogin_rce_/blob/2afa96bc8039a27945d951ea5408194c84c30541/rce/web.go#L47
？？？？

12

Webpoplayer

2022-02-17 08:56:56 +08:00

看了下,还是卸载了向日葵 ..

13

cweijan

2022-02-17 09:06:15 +08:00

看了下代码最终是`http://" + config.GetIp() + ":" + config.GetPort() + "/check?cmd=ping..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fwindows%2Fsystem32%2FWindowsPowerShell%2Fv1.0%2Fpowershell.exe`, 意味着有公网 IP 计算机运行的向日葵才会有这个风险, 个人电脑完全没关系..

14

dbpe

2022-02-17 09:12:37 +08:00

不用向日葵...

15

musi

2022-02-17 09:18:51 +08:00

@Lentin 就算开了 upnp 没有公网 ip 还是用不了

16

zpzpzp

2022-02-17 09:31:25 +08:00

公网 IP win nas ,赶紧卸载了

17

maskerTUI

2022-02-17 09:43:16 +08:00

UPnP 需要路由器、操作系统和应用软件本身的支持。
我看了一下我的 tp 路由器，upnp 里面并没有向日葵，只有一条微信的 voip 。

18

advancejar

2022-02-17 09:45:38 +08:00

1

都公网了还要向日葵？
直接远程桌面有危险吗？

19

anyclue

2022-02-17 09:48:50 +08:00

哪个版本以下受影响啊

20

yagamil

2022-02-17 10:04:07 +08:00

以 fork 了一份，扫描试试

21

GPLer

2022-02-17 10:07:21 +08:00

测试过了，ipconfig 可以执行回显，但 calc 弹不出来不知道是为啥。。。

22

mercury233

2022-02-17 10:17:00 +08:00

1

https://www.oray.com/announcements/affiche/?aid=774
向日葵远程控制软件 Windows 版公示局域网本地连接越权漏洞（ CNVD-2022-10270 ）已于较早前修复，请广大用户及时通过向日葵官网升级到最新版本，同时建议用户开启自动更新功能保持软件的更新同步。

23

liuxu

2022-02-17 10:20:10 +08:00

卸载吧，ddns 原理了解下，个人 pc 用路由器是 nat 上网，也有公网 ip ，只不过是每次拨号会变化，upnp 可以端口映射到公网，能扫到

24

yagamil

2022-02-17 10:34:29 +08:00

看了下源码，漏洞只能在 windows 的机器

25

musi

2022-02-17 10:40:44 +08:00

@liuxu #23 不懂就问，ddns 和这个有啥关系，这压根都不需要用到 dns 解析

26

yaott2020

2022-02-17 10:40:56 +08:00

更新了个按钮-->强制校验证书

27

cweijan

2022-02-17 10:54:35 +08:00

2

@liuxu 你这个属于是不懂强答, ddns 是间隔一段时间获取当前计算机的公网 IP, 上报给 dns 提供商.

28

v2tudnew

2022-02-17 11:27:30 +08:00

有 IPv6 路由器无防火墙的肯定是完全暴露了（小白用户基本不会去阻止操作系统防火墙的）。

29

bingdwendwen

2022-02-17 11:37:17 +08:00

小白用户看了瑟瑟发抖，还是卸载吧

30

KENLJL08

2022-02-17 12:14:45 +08:00

只能是 WINDOWS 机器，而且局域网内才有风险，更新就好

31

cev2

2022-02-17 13:27:06 +08:00

有 Bug 并且及时发公告修复的还算及时，那我就更新接着用呗。但当我打开我的向日葵检查更新，官网显示最新版是 12.5 ，本地安装的版本显示 12.0 ，检测更新说我是最新版。这是什么操作？
https://imgtu.com/i/H5KFjs

32

liuxu

2022-02-17 13:47:46 +08:00

@cweijan
@musi

看回复最好整句话结合起来理解一下，而不是只掐几个字断章取义，我是在回复 13 楼和其他人说个人 pc 没公网 ip 的事，如果没有公网 ip ，怎么上报给 DNS

33

musi

2022-02-17 13:51:45 +08:00

@liuxu #32 你又不艾特指定的人，谁知道你是回复哪些人的，和你交流全靠猜？

34

musi

2022-02-17 14:02:10 +08:00

@liuxu #32 另外，又不是所有家宽都会给你分配公网 ip ，DDNS 的原理只是上报 ip ，不是说上报的一定是公网 ip ，如果是 nat 的至少你在同一网段是没有问题的，所以这和 DDNS 还是没有任何关系。

35

liuxu

2022-02-17 14:11:34 +08:00

1

@musi

我不是要回复给哪些人，而是在回复这个贴，贴子中有人认为有“公网 ip 的机器运行向日葵才有安全问题，个人 pc 完全没关系”，也有人说有“upnp 也没事，向日葵不自动设置”

既然这样我就浪费点时间详细说下，主要是给楼主和其他看帖子的人，避免被你们误导

结论：如果设置不当，个人 pc 也有安全问题。

a. 原因是基本所有路由器都有 upnp 功能，而 upnp 可以端口映射。
b. 个人 pc 也有公网 ip ，不然像 ddns 这种服务无法工作，它需要把公网 ip 上报。只不过每次拨号会更换新的公网 ip 。其他相关可以了解 adsl 拨号 vps ，bt p2p 的 upnp 设置。
c. 但 b 有特殊情况，有部分省市区域的移动 /联通 /电信 /广同可能不会给你一个人一个公网 ip ，而是大内网共用一个公网 ip ，但即使是大内网，也有安全问题，除非服务商做了特殊转发设置。
d. 当 pc 中任何远程软件做了监听端口，并且在路由器上做了端口映射，如果有漏洞，就会有安全问题。因为对于外网攻击者，就可以用你当前临时公网 ip 和映射的端口扫描然后攻击。只不过是你拨号 ip 就变了，攻击者就连不上了。

36

liuxu

2022-02-17 14:14:52 +08:00

@musi #34 “ddns 原理了解一下”与“和 ddns 有关”是一件事吗，这么曲解是不是太过了

37

musi

2022-02-17 14:17:37 +08:00

@liuxu #35 “个人 pc 也有公网 ip ，不然像 ddns 这种服务无法工作”
被你说的我特意查了下 DDNS 的维基百科。
"Dynamic DNS (DDNS) is a method of automatically updating a name server in the Domain Name System (DNS), often in real time, with the active DDNS configuration of its configured hostnames, addresses or other information."

我还是不知道没有公网 ip 为什么 ddns 就不能工作，我给域名映射一个内网 ip 也没问题吧？

38

musi

2022-02-17 14:19:02 +08:00

@liuxu #36 请问您的 ddns 原理是在哪看的，有没有相关文章我去学习一下

39

musi

2022-02-17 14:23:02 +08:00

@liuxu #35 我知道你的本意是想说明个人 pc 也可能会有公网 ip ，我赞同我也仍可，我自己就在用。但是你借 DDNS 原理去说明这个论点就有点不太恰当。

40

liuxu

2022-02-17 14:30:58 +08:00

@musi 看上去你不仅对回复断章取义，而且还会对技术钻特殊情况

你说的对，ddns 本身确实不需要公网，甚至可以本机 localhost 运行 ddns 解析 127.0.0.1 自己玩。但这和说明个人 pc 有公网 ip 有什么关系？

常用 ddns 谁不是为了让没有固定公网 IP 的人，可以从外网通过固定域名访问到内网服务

当然你肯定能找到不这么用的人，比如你的 ddns 可能就不是为了这个目的，反正就是玩儿

我的回复就到这了，没意义的话题

41

shakoon

2022-02-17 16:14:29 +08:00

这个软件我偶尔用。然后点了一下更新检查，提示“当前已是最新版本:12.0.1.40571”，然而我去官网，显示的最新版本是“V 12.5.1.44969 （ 2022.02 ）”，明显已经更新了若干次版本了。这让我对这个软件又起了怀疑

42

shakoon

2022-02-17 16:16:48 +08:00

@cev2 #31 没错，我也遇到和你一模一样的问题

43

BeyondBouds

2022-02-17 16:24:37 +08:00

啊，我只有一台电脑常年 24 小时开机，装了向日葵
是为了时不时远控开下游戏挂机用的，硬盘里倒是没什么东西，就一些游戏和几张可能会社死的游戏截图
不知道有没有影响，我家里其他设备会被扫描到吗？

44

ily433664

2022-02-17 16:52:49 +08:00

@mercury233 #22 客户端检查更新 12.0 显示最新版本，官网下载最新是 12.5 ，这自动更新开启了个寂寞

45

neroxps

2022-02-17 18:07:04 +08:00

@liuxu #40 哈哈，摸鱼闲的没事，终于找有人打了个和题主没关的技术，键盘又有事干啦哈哈。深表同情

46

krixaar

2022-02-18 10:11:02 +08:00

@neroxps #45 我反正看#23 也愣了一下，就那种，我问增强萨怎么输出，回答写了输出循环中间突然夹了句“招架的原理了解下”，我心想我确实能招架但又不当 T 为啥要去了解一下，的感觉……

47

mikywei

2022-02-18 14:10:41 +08:00

@musi 你说的是静态公网 IP 吧，一般上网都是静态的。

48

mikywei

2022-02-18 14:15:18 +08:00

@mikywei 打错字了，是动态

49

CaseyH

2022-02-18 15:57:23 +08:00

@shakoon 我也是，我的版本也显示这个问题

50

JacobWong

2022-02-19 09:33:46 +08:00

进内网又能多拿一些机器了，还不用提权，直接 system

51

zhangjinghua

2022-02-19 11:01:51 +08:00

页面直接被删了，，