CrushFTP AS2 身份验证绕过研究

⚠️ 重要提示： 该漏洞已于 2025 年 11 月被 CrushFTP 修复。此研究仅出于教育和防御目的发布。

📝 注意： 本研究基于与 CVE-2025-54309 相似的漏洞模式。确切的 CVE 编号可能不同。这是一项在受控家庭实验室环境中进行的独立安全研究。

关于本研究

本仓库记录了 CrushFTP 服务器中一个严重身份验证绕过漏洞，该漏洞通过 AS2（适用性声明 2）头部操作实现完全管理权限。该漏洞无需身份验证，且可通过单个 HTTP 请求利用。

关键点：

• 研究在授权家庭实验室中进行（2025 年 3 月至 7 月）
• 已通知厂商（2025 年 8 月）——未收到回复
• 由 CrushFTP 修复（2025 年 11 月）
• 公开披露（2025 年 12 月）
• 出于教育和防御目的发布

研究人员： SmileyFace101 (@SmileyFace101)

🔍 漏洞详情

技术摘要

CrushFTP 的 Web 界面错误地信任 AS2 协议头部，未进行适当验证。服务器假定 AS2 请求已预认证，从而绕过正常认证流程。

关键细节

• 产品： CrushFTP Server
• 组件： AS2 身份验证模块
• 估计 CVSS： 9.8（严重）
• 攻击向量： HTTP 头部操纵
• 复杂度： 低——单个 HTTP 请求
• 身份验证： 无需
• 影响： 完全系统沦陷
• 相关 CVE： 与 CVE-2025-54309 相似

已测试版本

易受攻击的 CrushFTP 版本（实验室确认）：

• CrushFTP 10.x（在 10.5.x 分支上测试）
• CrushFTP 11.x（在 11.1.x 分支上测试）

已修复版本：

• CrushFTP 10.7.0+（2025 年 11 月修复）
• CrushFTP 11.2.0+（2025 年 11 月修复）

实验室环境：

• 操作系统：Linux（Ubuntu 22.04 LTS）
• 测试基础架构：隔离的家庭实验室网络
• 未测试任何生产系统

攻击向量

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

示例（实验室环境）：

curl -H "X-DMZ-Proxy: disabled" \
     -H "X-AS2-Version: 1.0" \
     -H "User-Agent: AS2Server/1.0" \
     "http://10.0.100.50/WebInterface/admin/index.html"

注意： 仅对您拥有或获得明确许可的系统使用。

关键发现

在利用过程中，我们发现了会话 Cookie 生成中的一个数学关系，使得利用具有 100% 可靠性：

CrushAuth 结构：[时间戳]_[会话 ID]
currentAuth = 会话 ID 的最后 4 个字符
c2f 参数 = 与 currentAuth 值相同

您将在此找到的内容

🔧 利用工具

• 完整的 PoC 脚本，带有会话管理功能
• 针对高价值端点的定向测试
• 自适应利用，包含多种策略

🔍 检测与防御

• IDS/IPS 规则（Snort 和 Suricata）
• 日志分析脚本，用于 IOC 检测
• 网络签名，用于监控

📖 文档

• 技术分析——完整的漏洞分解
• 利用方法——逐步攻击链
• 会话管理——已发现的数学模式
• JavaScript 分析——客户端代码逆向工程

📊 影响评估

漏洞利用后能力

✅ 完全服务器和用户枚举
✅ 用户账户创建与修改
✅ 文件系统访问与浏览
✅ 通过 Telnet 接口执行命令
✅ 以系统权限调度任务
✅ 访问 PGP 密钥和证书
✅ 修改管理配置

🛡️ 缓解与修复措施

立即行动（严重）

1. 立即将 CrushFTP 更新到最新版本
2. 如果不需要，禁用 AS2 功能
3. 实施 WAF 规则，阻止来自不受信任来源的 AS2 头部
4. 重置 CrushFTP 服务器上的所有管理凭据
5. 为管理面板启用 MFA

检测实施

请参阅 detection/ 目录：

• IDS/IPS 签名（Snort, Suricata）
• 日志分析查询
• 网络流量签名
• 行为异常检测规则

长期安全措施

• 实施多因素身份验证
• 对管理接口进行网络分段
• 定期进行安全评估
• 实施最小权限原则

📈 检测与取证

HTTP 流量签名

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

网络指标

• 来自管理端点的大 HTTP 响应（19KB+），且未经身份验证
• 带有 AS2 头部的 POST 请求到 /WebInterface/function/
• 未经事先登录即可访问管理面板
• 针对 CrushFTP 服务器的异常流量模式

日志分析

# Web 服务器日志
grep -E "(X-DMZ-Proxy|X-AS2-Version|AS2Server)" /var/log/nginx/access.log

# CrushFTP 应用日志
grep -E "(WebInterface/admin|WebInterface/function)" crushftp.log

📚 仓库内容

.
├── README.md                          # 本文件——概述与用法
├── docs/
│   └── TECHNICAL_ANALYSIS.md         # 完整技术深度分析
├── exploits/
│   ├── enhanced_session_exploit.sh   # 完整利用，含会话管理
│   ├── targeted_exploitation.sh      # 高价值端点测试
│   └── adaptive_exploitation.sh      # 多策略方法
└── detection/
    ├── snort_rules.txt               # IDS/IPS 签名（Snort）
    ├── suricata_rules.txt            # IDS/IPS 签名（Suricata）
    └── log_analysis.sh               # 日志分析与 IOC 检测

快速开始

1. 阅读文档：

   • 从本 README 了解概述
   • 查看 TECHNICAL_ANALYSIS.md 获取深入技术细节

2. 在您的实验室中测试：

   root@kitploit:~

   # 确保您拥有目标系统的所有权！
   ./exploits/enhanced_session_exploit.sh 10.0.100.50
   

3. 部署检测：

   • 将 IDS 规则复制到您的 Snort/Suricata
   • 在您的 Web 服务器日志上运行日志分析脚本

🔬 研究发现

关键技术成果

✅ 发现并记录了完整的 AS2 身份验证绕过
✅ 识别并解决了关键的会话 Cookie 生成要求
✅ 逆向工程了会话管理中的数学关系
✅ 开发了两阶段利用方法
✅ 建立了 100% 可靠的利用模式
✅ 识别并分析了多个 RCE 向量
✅ 执行了完整的 JavaScript 源代码分析

受影响的 CrushFTP 端点

• /WebInterface/admin/index.html — 主管理面板
• /WebInterface/admin/telnet.html — Telnet 接口
• /WebInterface/Jobs/index.html — 作业管理
• /WebInterface/UserManager/index.html — 用户管理
• /WebInterface/PGP/index.html — PGP 密钥管理
• /WebInterface/function/ — 管理功能处理器

🔗 参考

• CrushFTP 官方网站
• CVSS 3.1 计算器
• CWE-287：身份验证不当
• OWASP 身份验证速查表

👤 作者

作者： SmileyFace101
GitHub： @SmileyFace101
研究期间： 2025 年 3 月至 7 月（家庭实验室）
公开披露： 2025 年 12 月 6 日

⚖️ 法律与道德声明

本研究仅用于教育和防御目的。

✅ 允许使用：

• 安全研究与教育
• 保护您自己的系统
• 授权渗透测试
• 理解攻击模式

❌ 禁止：

• 未经授权的系统访问
• 未经许可测试系统
• 恶意使用
• 任何非法活动

使用本研究即表示您同意：

1. 仅对您拥有或拥有书面测试许可的系统使用
2. 遵守所有适用法律和法规
3. 进行负责任的披露
4. 对自己的行为承担全部责任

免责声明： 作者不对误用承担任何责任。未经授权的计算机访问是非法的。

📄 许可证

MIT 许可证 — 详情请参阅 LICENSE 文件。

最后更新： 2025 年 12 月 6 日
风险评估： 严重 — 需要立即打补丁并采取缓解措施

最后更新： 2025 年 12 月 6 日
作者： SmileyFace101
研究进行时间： 2025 年 3 月至 7 月，在授权的实验室环境中