（CNVD-2019-09593）齐治堡垒机 ShtermClient-2.1.1 命令执行漏洞¶
一、漏洞简介¶
二、漏洞影响¶
三、复现过程¶
漏洞分析¶
首先，在安装齐治运维堡垒机客户端软件ShtermClient后，会在计算机上注册一个伪协议"shterm"。堡垒机正是通过该协议，调用本地程序打开了连接到堡垒机的通道。如下图是chrome浏览器打开链接时的提示。
我们可以在注册表中找到它，Command子项指明了如何处理shterm协议的URI。
通过对该过程的抓包分析，发现将"app":"mstsc"改为"app":"calc"，生成的shterm URI即可打开本地的计算器。一度认为命令只能注入app参数，后来使用Procmon.exe监控LoadShell.exe的执行，发现会在%tmp%目录下生成一些日志文件，通过分析日志文件以及多次测试，得到了最终可行的利用方案。
Client/inflate.php源代码，可见服务端仅是将提交的数据，先进行压缩，在进行base64编码后即输出。
漏洞复现¶
首先在靶机上安装ShtermClient-2.1.1。
然后，在kali上搭建PHP环境，以便生成shterm URI，见下图。
如果你使用了存在漏洞的shtermclient，在浏览器中打开以下链接，将会在本机打开计算器calc.exe。
shterm://eJyrVkosKFCyUkpOzElWqgUAIf8Ejw==
