KnowledgeDeliver ViewState反序列化RCE漏洞及BLUEBEAM利用分析

漏洞概述 漏洞名称: ViewState Deserialization Vulnerability 漏洞描述: 该漏洞允许未授权远程代码执行（RCE）。攻击者通过利用相同的预共享ASP.NET机器密钥，可以在多个客户部署中注入恶意代码到LMS平台。 漏洞原因: KnowledgeDeliver安装在2026年2月24日之前依赖于供应商提供的标准化web.config文件，其中包含硬编码的machineKey值。这些密钥在独立客户环境中相同，导致攻击者可以从一个部署获取密钥并用于其他部署。 影响范围 受影响系统: KnowledgeDeliver安装部署在2026年2月24日之前。 攻击方式: 攻击者通过发送包含恶意ViewState payload的HTTP请求，使服务器反序列化该payload，从而执行任意代码。 后续活动: 攻击者部署了BLUEBEAM Web Shell，修改文件权限，注入恶意JavaScript，并通过Cobalt Strike BEACON后门进行进一步控制。 修复方案 立即措施: 为每个KnowledgeDeliver实例生成唯一的、密码学上强大的machineKey。 访问限制: 如果可能，限制对LMS的访问，仅允许已知的组织IP地址范围。 调查: 监控并调查任何疑似利用迹象，进行全面调查。 利用代码 其他信息 相关事件日志: 监控Windows应用程序日志中的Event ID 1316，特别是与ViewState验证失败相关的错误代码。 可疑进程活动: 监控由w3wp.exe生成的异常子进程，如cmd.exe、whoami、powershell.exe。 文件完整性监控: 监控对.js、.aspx或.config文件的未授权更改。 异常用户代理字符串: 监控包含特定标识符的用户代理字符串，这些字符串与已知的ViewState反序列化漏洞相关。 指标（IOCs） 文件名称: LoadLibrary.dll 类型: BLUEBEAM SHA-256: 7c1f99dca8e5a7b97892f9d224a6495023a2 总结 该漏洞通过利用相同的预共享ASP.NET机器密钥，允许未授权远程代码执行。攻击者通过发送恶意ViewState payload，使服务器反序列化并执行任意代码。修复方案包括生成唯一的machineKey、限制访问和全面调查。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

KnowledgeDeliver ViewState反序列化RCE漏洞及BLUEBEAM利用分析

目标达成感谢每一位支持者 — 我们达成了 100% 目标！