CVE-2025-3363 — 神龙十问 AI 深度分析摘要

🚨 **本质**：操作系统命令注入 (OS Command Injection)。 💥 **后果**：攻击者可远程执行任意系统命令，彻底接管服务器。

🔍 **CWE**：CWE-78。 📍 **缺陷点**：软件未对用户输入进行充分过滤或转义，直接拼接至系统命令中执行。

🏢 **厂商**：HGiga (中国恒基)。 📦 **产品**：iSherlock 系列软件。 🔢 **版本**：iSherlock 4.5。

👑 **权限**：最高权限（SYSTEM/root）。 📂 **数据**：可读取、修改、删除任意文件，甚至横向移动内网。

📉 **门槛**：极低。 🔓 **认证**：无需认证 (PR:N)。 🌐 **网络**：远程可访问 (AV:N)。 ⚡ **复杂度**：低 (AC:L)。

📄 **Exp**：当前数据中 **无** 公开 PoC 或 Exp。 🌍 **在野**：暂无在野利用报告。

🔎 **自查**：扫描 iSherlock 4.5 服务端口。 🧪 **测试**：尝试注入特殊字符（如 `;`, `|`, `&&`）观察系统响应。

🛡️ **补丁**：数据中 **未提供** 官方补丁链接或修复方案。 📅 **时间**：2025-04-08 发布。

⚠️ **规避**： 1. **网络隔离**：禁止公网访问该服务。 2. **WAF防护**：拦截包含 shell 元字符的请求。 3. **最小权限**：降低运行账户权限。

🔥 **优先级**：P0 (紧急)。 📊 **CVSS**：9.8 (Critical)。 💡 **建议**：立即隔离受影响资产，联系厂商获取修复方案。