CVE-2023-33731 — eScan 管理控制台：反射型跨站脚本（XSS）

目录

• 概述
• 漏洞详情
• 严重程度与 CVSS 评分
• 受影响产品
• 技术分析
• 概念验证
• 影响
• 缓解与修复措施
• 披露时间线
• 参考资料
• 作者

概述

在 Microworld Technologies 开发的 eScan 管理控制台（版本 14.0.1400.2281）中发现了一个 反射型跨站脚本（XSS） 漏洞。该漏洞存在于 仪表盘详情（DashBoardDetails）端点，其中多个查询字符串参数被直接反射到 HTML 响应中，未经适当的净化或输出编码。未认证的远程攻击者可以构造恶意 URL，诱使已认证的管理员点击，导致任意 JavaScript 在受害者的浏览器会话中执行。

漏洞详情

严重程度与 CVSS 评分

CVSS 3.1 向量：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

受影响产品

• 产品： eScan 管理控制台（基于 Web 的端点安全管理平台）
• 供应商： Microworld Technologies
• 版本： 14.0.1400.2281
• 软件链接： https://cl.escanav.com/ewconsole.dll
• 平台： Windows

技术分析

eScan 管理控制台暴露了一个 Web 界面（ewconsole.dll），用于处理各种管理操作，包括仪表盘视图。DashBoardDetails 端点接受多个查询字符串参数（type, subtype, result, windowname, DisplayOSSelection），并使用它们的值动态构建服务器响应中的 HTML 内容。

根本原因

服务器端代码在将用户提供的输入嵌入响应体之前，未能进行 净化 或 HTML 编码。具体来说，type 参数值未经转义特殊字符（如 ", <, >）即被直接反射到 HTML 属性上下文中。这使得攻击者可以跳出属性上下文并注入任意 HTML/JavaScript 标签。

subtype 和 result 参数也存在同样的缺陷。

受影响请求

GET /ewconsole/ewconsole.dll/DashBoardDetails?type=<PAYLOAD>&subtype=<PAYLOAD>&result=<PAYLOAD>&windowname=usrmgmt&DisplayOSSelection=true
Host: cl.escanav.com

Payload 分解

URL 编码的 payload PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E 解码后为：

PS"><script>alert(document.cookie)</script>

概念验证

⚠️ 仅供教育和授权的安全研究目的使用。

前提条件

1. 受害者必须已登录 eScan 管理控制台，作为已认证用户（例如管理员）。
2. 攻击者将以下构造 URL 传递给受害者（例如通过钓鱼邮件、聊天消息或嵌入链接）。

复现步骤

步骤 1： 使用有效凭据登录 eScan 管理控制台。

步骤 2： 导航到（或传递给已认证受害者）以下构造 URL：

https://cl.escanav.com/ewconsole/ewconsole.dll/DashBoardDetails?type=PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&subtype=13&result=3&windowname=usrmgmt&DisplayOSSelection=true

type 参数中解码后的 payload：

PS"><script>alert(document.cookie)</script>

步骤 3： 页面加载后，注入的脚本在浏览器中执行。弹出一个显示受害者活动会话 cookie 的告警对话框。

步骤 4： 攻击者捕获会话 cookie 值，并利用它劫持管理员的会话，从而完全控制管理控制台。

影响

成功利用此漏洞允许攻击者：

• 会话劫持 / 账户接管： 窃取已认证管理员的会话 cookie，无需凭据即可冒充管理员。
• 凭据窃取： 注入伪造登录表单或键盘记录器，捕获用户名和密码。
• 恶意软件分发： 将受害者重定向到恶意网站或静默下载恶意软件。
• UI 操作 / 篡改： 修改管理控制台页面内容以误导管理员。
• 权限提升： 由于目标通常是管理员，成功攻击将完全控制端点安全管理平台，可能危及组织内所有受管端点。

缓解与修复措施

对于供应商/开发者

1. 输出编码： 在将用户输入反射到响应之前，对所有用户输入进行 HTML 编码（例如 < → <，> → >，" → "，' → '）。
2. 输入验证： 实施严格的白名单；例如，subtype 和 result 只应接受数值，拒绝其他任何内容。
3. 内容安全策略（CSP）： 部署严格的 Content-Security-Policy HTTP 响应头，以阻止内联脚本执行。
4. HttpOnly Cookie 标志： 在会话 cookie 上设置 HttpOnly 属性，使 JavaScript 无法访问，从而显著限制任何 XSS 漏洞的影响。
5. 升级/打补丁： 应用最新的安全补丁，或升级到解决了此漏洞的 eScan 管理控制台版本。

对于系统管理员/用户

• 避免点击涉及 eScan 管理控制台的未经请求或意外的链接。
• 将管理控制台的访问限制在可信网络内；不要将其直接暴露在公共互联网上——使用 VPN 或 IP 白名单。
• 监控会话活动并审计所有管理操作。
• 及时应用供应商提供的安全更新。

披露时间线

参考资料

• NVD — CVE-2023-33731
• Microworld Technologies — eScan 管理控制台
• CWE-79: 网页生成过程中输入未适当中和
• OWASP: 跨站脚本（XSS）
• OWASP XSS 防护速查表

作者

Sahil Ojha

此漏洞已负责任地研究和披露，旨在提高对广泛部署的安全管理软件中安全缺陷的认识。此处提供的所有信息仅用于教育和防御性安全研究目的。