CVE-2023-34362: MOVEit Transfer RCE 漏洞链分析

CVE-2023-34362: MOVEit Transfer RCE 漏洞链深度分析

CVE-2023-34362 是 Progress MOVEit Transfer 中一个极其重要的高危漏洞。公开实战中，攻击者最常用它做大规模数据窃取；而安全研究则进一步证明，这个漏洞链并不止于 SQL 注入，还可继续走到 token 滥用和反序列化 RCE。

这不是单纯一个“表面上的 SQL 注入”问题，而是一条多阶段漏洞链。

入口在未授权可达路径 攻击者通过 MOVEitISAPI.dll 相关请求入口进入处理链。
请求头解析与会话变量处理存在缺陷 公开研究显示，攻击者可以借助异常事务名和请求头，把本不应被外网直接利用的内部逻辑暴露出来，并污染会话变量。
最终落入 SQL 注入路径 通过 guestaccess.aspx 等路径进入 secmsgpost 流程后，攻击者可把恶意输入送入未充分清洗的 SQL 查询中，获得数据库读写能力。
数据库控制会放大为系统控制 一旦具备数据库读写能力，攻击者就不再受限于“读几条表记录”，而可以：
- 改配置
- 伪造 token
- 改写上传状态
- 在更深层处理链中触发反序列化

出于安全考虑，不提供可直接运行的 exp，仅保留研究导向描述。

POC 最适合验证：

实战中最常见的是 SQLi -> WebShell 在野利用里，攻击者经常直接落地轻量级 ASPX WebShell，而不是完整打到反序列化 RCE。
token 化操作比界面化操作更隐蔽 一旦拿到高权限 API token，攻击者就可以直接经 API 枚举文件、目录和用户，不必通过明显的 Web 管理界面进行操作。
可扩展到云存储配置 公开研究提到，攻击者可借此进一步读取 Azure Blob 等外部存储配置与密钥，让影响从单台主机扩大到云存储。
日志清理与痕迹削弱 CERT-EU 指出，攻击者可利用数据库能力删除部分 IOC，因此 MOVEit 事件处理中不能只依赖“当前还能看到什么日志”。

重点访问路径 优先检查：
- /MOVEitISAPI/moveitisapi.dll?action=m2
- /guestaccess.aspx
- /api/v1/auth/token
- /api/v1/folders
- /human2.aspx
- /_human2.aspx
关键请求头 搜索：
- X-siLock-Transaction
- X-siLock-SessVar*
- X-siLock-Comment
- X-siLock-Step1
- X-siLock-Step2
- X-siLock-Step3
文件系统痕迹 重点检查：
- human2.aspx
- _human2.aspx
- App_Web_*.dll
- 非预期 ASPX 文件
数据库与账号痕迹 重点排查：
- Health Check Service
- 异常 active session
- fileuploadinfo 异常记录
- token / federated 配置异常