ProxyLogon

ProxyLogon 是 CVE-2021-26855 的正式通用名称，这是一个 Microsoft Exchange Server 上的漏洞，允许攻击者绕过身份验证并冒充管理员。我们还将该漏洞与另一个认证后的任意文件写入漏洞 CVE-2021-27065 结合，以实现代码执行。（来源：proxylogon.com）

免责声明

本 GitHub 仓库提供的信息仅供教育目的。本 GitHub 上的所有信息均以善意提供，但我不对任何信息的准确性、充分性、有效性、可靠性、可用性或完整性作出任何明示或暗示的陈述或保证。

开始使用

要求

• 此脚本需要 Python3 和 urllib 库

如果你想要测试该漏洞，请仅在你的（非生产）系统上进行

python ProxyLogon.py <hostname> <email>

截图

缓解措施

更新

累积更新

以下安全更新适用于以下 Microsoft Exchange Server 版本：

• Microsoft Exchange Server 2013 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 18
• Microsoft Exchange Server 2016 Cumulative Update 19
• Microsoft Exchange Server 2019 Cumulative Update 7
• Microsoft Exchange Server 2019 Cumulative Update 8

来源：https://www.ncsc.nl/actueel/nieuws/2021/maart/5/update-microsoft-exchange-server

其他资源（扫描器、IOC）

• https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
• https://github.com/microsoft/CSS-Exchange/tree/main/Security
• https://www.fireeye.com/blog/threat-research/2021/03/detection-response-to-exploitation-of-microsoft-exchange-zero-day-vulnerabilities.html
• https://us-cert.cisa.gov/ncas/alerts/aa21-062a
• https://news.sophos.com/en-us/2021/03/05/hafnium-advice-about-the-new-nation-state-attack/
• https://github.com/Neo23x0/signature-base/blob/master/yara/apt_hafnium_log_sigs.yar

致谢

• DEVCORE 的研究人员
• Testanull（PoC）及相关博客文章：https://testbnull.medium.com/ph%C3%A2n-t%C3%ADch-l%E1%BB%97-h%E1%BB%95ng-proxylogon-mail-exchange-rce-s%E1%BB%B1-k%E1%BA%BFt-h%E1%BB%A3p-ho%C3%A0n-h%E1%BA%A3o-cve-2021-26855-37f4b6e06265