F5 Networks官方在7月1日公布了BIG-IP系统的TMUI接口中存在一个严重的远程代码执行漏洞（CVE-2020-5902）。利用此漏洞的攻击层出不穷，我们对这些事件进行了总结，以期对近日来的事件进行完整阐述。

漏洞简述

该漏洞允许未授权的远程攻击者通过向漏洞页面发送特殊构造的数据包，在系统上执行任意系统命令、创建或删除文件、禁用服务等。

根据360安全大脑测绘云(QUAKE网络空间测绘系统)数据，截至2020年7月10日，全球至少有80000台存在此漏洞的资产，具体分布如下图所示：

通过对该漏洞活跃情况研判，得到其全球态势和漏洞生命周期：

从360安全大脑的全网视野里可以看出，在7月2日漏洞利用细节公布，7月4日开始传播后，7月6日全网受影响设备居于峰值，此后由于缓解措施发布实施，漏洞活跃状态逐步回落。

时间线

2020-7-1：F5 Networks官方发布通告，缓解措施为在配置文件中添加以下内容：

<LocationMatch ".*\.\.;.*">
Redirect 404 /
</LocationMatch>

2020-7-2：漏洞相关技术细节公布
2020-7-3：漏洞扫描流量被监测到
2020-7-5：@x4ce在推特上公开披露漏洞利用PoC
2020-7-6：metasploit集成exp
2020-7-7：研究人员发现F5官方发布的缓解措施能够被绕过；而监测发现，在推特发布6小时前，野外即有bypass的利用payload；同日，F5官方更新通告，修复后的配置内容为：

<LocationMatch ";">
Redirect 404 /
</LocationMatch>

7.10日， F5官方再次更新通告，配置更新为：

<LocationMatch ";">
Redirect 404 /
</LocationMatch>
<LocationMatch "hsqldb">
Redirect 404 /
</LocationMatch>

漏洞攻击情报

根据NCC groups发布的报告，7月4日就有攻击者尝试使用该漏洞进行攻击，但攻击者数量较少；360安全大脑专家云的事件调查专家也在国内观测到，在exp公布前几个小时，已经存在利用twitter上公布的poc进行扫描的流量；完整功能的exp公布后，扫描流量也随即改变。

从exp公开发布起的5天内，360就已在国内捕获到超过2万次CVE-2020-5902的扫描请求，其中绝大部分为通过推特或其他渠道公开获取的PoC或exp以及metasploit exp。可以看出，该漏洞已经引发了大量关注。截止目前我们尚未观测到国内有相关资产已经遭受攻击。

尽管绝大多数扫描或攻击行为并非由专业网络攻击者发起，但他们不会错过如此的“大好机会”。仅仅在exp公开（7月5日）后不到一天的时间内，国外安全研究员发现已经开始有攻击者成功地利用漏洞进行攻击。

攻击手段

根据我们的观察分析，目前攻击手段主要包括以下几种。

利用cve-2020-5902，下发脚本，下载远程payload执行

我们分析推测，恶意脚本通过fileSave.jsp接口上传到tmp目录，之后利用tmshCmd.jsp接口执行。从手法上来看，此类攻击极有可能是利用msf相关模块进行的。

Payload地址：http://217.12[.]199[.]179/b.sh

脚本下发时间：2020年7月6日

脚本内容：

脚本功能：

创建crontab（即linux系统的计划任务），从远程地址http://217.12.199[.]179/b.sh获取脚本并执行；该脚本为b.sh的复制，我们推测此任务是为后续脚本下发做准备。

Payload地址：http://45.77.28[.]70[:]80/inf5.sh

脚本下发时间：2020年7月6日

脚本内容：

脚本功能：

使用curl命令，从地址http://45.77.28[.]70[:]80/inf5.sh下载脚本执行。

inf5.sh是一个安装脚本，用来在/etc/init.d目录下创建文件network2，释放脚本/etc/.modules/.tmp，并将network2加入开机启动项，最后执行.tmp脚本；network2文件内容即为启动.tmp。

.tmp脚本是一个downloader，用来从目标地址下载demo.txt到/tmp/dvrHelper并执行。dvrHelper是开源的botnet Mirai修改的一个变种。

Payload地址：http://103.224.82[.]85[:]8000/zabbix

脚本下发时间：2020年7月6日

脚本内容：

脚本功能：

从地址http://103.224.82[.]85[:]8000/zabbix下载到/var/log/F5-logcheck，使用touch命令修改时间戳，将/var/log/F5-logcheck加入rc.local开机脚本中并执行。分析时，目标地址已不可用，但根据国外研究人员获取到的信息，该样本是一个go语言编写的agent和控制器GoMet。

利用cve-2020-5902，通过命令或脚本下发php webshell

除了下发脚本执行以外，有的攻击者选择上传webshell以便获取持续的权限。（详见 RIFT: F5 Networks K52145254: TMUI RCE vulnerability CVE-2020-5902 Intelligence）

cve-2020-5902结合hsqldb Java反序列化漏洞执行命令

2020年7月7日，有研究人员发现hsqldb 中存在java反序列化漏洞，并结合该漏洞实现了一种新的利用方式。在此利用方式发现后的短时间内，有攻击者利用此方式发起了攻击，并且利用相似的方式绕过了F5 Networks官方通告中的缓解措施；而6小时后，才有研究人员公开宣布，缓解措施可被绕过。由此可见，在利用CVE-2020-5902进行攻击的人员中，不乏较高能力的攻击者。

攻击者关联

我们对网络上公布的攻击事件进行了进一步的分析。在直接利用cve-2020-5902下发的脚本和webshell中，我们认为其中至少三个（payload为inf5.sh和zabbix的脚本，以及bg_status.php）是来自同一攻击者/攻击组织。

虽然两个脚本内容和功能完全不同，但我们在对inf5.sh脚本进行关联分析时，发现了一个新的脚本（dd76441fac6d42ecea1dcd9f695292d29928d718c34ce3a47f7a3ab00a50360c），该脚本在目标主机中释放了新的payload，并清除了上一阶段释放的文件，其中包括/var/log/F5-logchec*，/etc/init.d/network，/tmp/dvrHelper以及bg_status.php。

另外，攻击者在释放新的payload时，使用了与创建webshell相同的手段，即”echo [base64 encoded content] | base64 –d > [file]”。因此，结合之前清除的文件名信息，如果该脚本确实来自攻击者，那么可以认为，这些不同的payload是由同一个攻击者在不同时间植入目标系统的。

在对inf5.sh分析时，我们还关联到了另外的IP：45.249.92[.]59。该IP在5月初-6月间被使用；我们分析了相关样本和脚本后认为，这是在45.77.28[.]70之前被用于存放文件的服务器IP，现已关闭。

通过进一步的分析我们发现，该攻击者/攻击组织并非“单线程”攻击：他们还使用相同的手法，利用TOTOLINK路由器的远程代码执行漏洞对IoT设备进行攻击，相关payload同样位于服务器45.77.28[.]70上。

从这些行为来看，我们认为，这些攻击背后是一个攻击组织而非个人，主要通过漏洞利用方式入侵linux或IoT设备，目的即为构建僵尸网络以满足其利益需求。

小结

根据现有的攻击行为来看，攻击者发起的主要是无差别攻击，通过漏洞对目标系统实施控制，即试图将存在漏洞的系统作为其僵尸网络的一部分，以获取利益。还有一部分攻击者将webshell上传到存在漏洞的系统，来获取进一步的控制。

虽然我们暂未得知是否有更严重的攻击事件出现，但可以推测，攻击者能够通过漏洞上传任意文件、执行任意系统命令，那么，他们同时也具备了窃取敏感信息、文件加密勒索甚至破坏系统的能力。在cve-2020-5902影响如此广泛，并且引起众多攻击者/攻击组织关注的情况下，我们只能推测，这些事件的发生是迟早的，该漏洞的严重程度不可小觑。

尽管F5 Networks在其通告中给出了临时缓解措施并且在不断更新，我们仍然建议将系统版本升级至不受影响的版本（如15.1.0.4），以避免由于新的绕过技术出现导致现有的缓解措施失效，给网络系统带来不必要的损失。