本仓库提供了一个功能完整的 PoC，以简洁的界面、完善的错误处理和美观的日志输出，自动化整个攻击链——从 WebSocket 握手到任意命令执行。

🔍 主要特性

• WebSocket 隧道 – 通过 wsproxy 端点直接基于 wss:// 工作。
• Erlang 分布式协议 – 完整实现了握手和 ETF（Erlang External Term Format）。
• 远程代码执行 – 通过 os:cmd/1 实现；可通过 file:read_file/1 读取文件，或通过 erlang:node/0 测试连通性。
• 智能检测 – 支持任意 bmID 值（只要以 -3389 开头）和多种 serviceType 值。
• 全面的日志记录 – 使用 [+]、[*]、[-]、[!] 符号进行彩色标记的消息输出，便于监控。

🧬 漏洞详情

该漏洞源于 SMA 1000 中的以下设计缺陷：

1. 不受限制的 WebSocket 代理 – /wsproxy 端点将二进制 WebSocket 消息转发到本地 Erlang 分布式端口（默认 localhost:1050），且没有适当的身份验证或授权。
2. 可预测/硬编码的 Erlang cookie – 用于分布式身份验证的 cookie 在所有 SMA 设备上都是静态的（至少在测试版本中如此）。这使得外部攻击者能够完成握手。
3. 暴露的 Erlang 节点 – Erlang 节点 [email protected] 监听 1050 端口并接受来自 WebSocket 代理的连接，从而可从网络访问。
4. 强大的 RPC 接口 – 该 Erlang 节点提供标准的 rex 服务，可在节点上执行任意函数，包括 os:cmd/1。

受影响版本

• 固件早于 2026 年 6 月热修复的 SonicWall SMA 1000 系列（例如 ex_sra_vm_12.5.0-02002.ova）。
• 必须启用 WorkPlace 服务（默认配置）。

影响

• 以 couchdb 用户（UID 1010，daemon 组）身份实现远程代码执行。
• 横向移动 – 攻击者可利用 CVE-2026-15410（XML‑RPC 路径遍历）将权限提升至 root。
• 数据窃取 – 通过 file:read_file/1 读取任意文件。
• 持久化 – 安装后门或修改系统文件。

🔧 利用条件

• 能够通过网络访问 SMA 设备的 WorkPlace 服务（通常为 TCP/443）。
• 无需有效凭据 – 该漏洞利用可在未认证的情况下工作。
• Python 3.8+，并安装 websockets 库（通过 pip install websockets 安装）。

🚀 使用方法

安装

基本命令

示例输出

高级选项

🧪 检测与调优的技术细节

硬编码 Cookie

漏洞利用中使用的 Erlang cookie 为：

该值在所有已测试的 SMA 设备上保持一致，并硬编码在 localhost:1050 上的 Erlang 进程中。它与用户为集群配置的 cookie 不同。

bmID 参数

bmID 必须以 -3389 开头（例如 -3389c1b25ccd）。前缀之后的任意值均被接受，因此基于签名的检测不应依赖于固定的哈希值。

服务类型

虽然示例使用 serviceType=SSH，但 TELNET 等其他值同样有效。该漏洞利用不依赖服务类型。

端口选择

1050 是默认的内部端口，但在野攻击中已观察到针对 8188 端口的情况。该漏洞利用可适配任何暴露 Erlang 分布式协议的端口。

权限提升

在以 couchdb 身份获得 shell 后，攻击者可利用 CVE-2026-15410 – 一个 XML‑RPC 路径遍历漏洞，可删除热修复并随后将权限提升至 root。

🛡️ 检测与缓解

入侵指标 (IoCs)

• 针对 /wsproxy 且 bmID 以 -3389 开头的异常 WebSocket 连接。
• SMA 设备发往外部 IP 的意外出站连接。
• 由 couchdb 用户生成的进程（例如 bash、python、nc）。
• couchdb 用户修改或创建 /var/tmp/ 中的文件。

建议措施

1. 立即应用 SonicWall 的官方补丁（2026 年 6 月热修复）。
2. 限制访问 – 仅允许受信任的 IP 范围访问 WorkPlace 服务。
3. 监控日志 – 关注异常的 WebSocket 活动和 Erlang 分布式连接尝试。
4. 更改内部 Erlang 节点的 Erlang cookie（如果可能）– 但这可能会影响应用程序功能。
5. 禁用 WorkPlace 服务（如果不需要）。

👏 致谢

• 发现与 PoC：Ch4120N。
• 额外研究：SonicWall PSIRT 及更广泛的安全社区。

📄 许可证

本项目基于 MIT 许可证授权 – 详情请参阅 LICENSE 文件。

免责声明：本工具仅用于教育和授权测试目的。作者和贡献者不对因使用本软件而造成的任何滥用或损害负责。

📚 参考资料

• SonicWall 安全公告 (CVE-2026-15409)
• NIST NVD 条目 – CVE-2026-15409

⭐ 支持

如果您觉得这个 PoC 有用，请考虑在 GitHub 上给它一个 ⭐，并负责任地分享。欢迎贡献代码、提交 issue 和拉取请求！

祝破解愉快！ 🛡️