SAP零日漏洞利用脚本技术细节曝光：可实现远程代码执行
内容提要
近期出现针对SAP系统的复杂零日漏洞利用脚本，具备高级远程代码执行能力，威胁全球企业。该脚本利用SAP NetWeaver应用服务器的漏洞，绕过安全控制，持续访问关键系统，攻击者通过构造HTTP请求实施攻击，展现出复杂的规避技术，强调了加强监控的必要性。
关键要点
-
近期出现针对SAP系统的复杂零日漏洞利用脚本，具备高级远程代码执行能力，威胁全球企业。
-
该脚本利用SAP NetWeaver应用服务器的漏洞，绕过安全控制，持续访问关键业务系统。
-
攻击者通过构造HTTP请求实施攻击，展现出复杂的规避技术。
-
恶意软件利用ABAP程序中的动态代码连接机制，类似于合法SAP开发中使用的技术。
-
攻击载体主要针对具有暴露Web接口的系统，使得面向互联网的SAP安装特别容易受到攻击。
-
恶意脚本通过SAP Web Dispatcher发送精心构造的HTTP请求，目标是NetWeaver应用服务器架构中的特定端点。
-
初始利用成功后，恶意软件会部署二级负载，通过修改ABAP程序建立持久性。
-
负载采用开放式SQL注入技术操纵数据库查询，实现数据外泄和进一步系统入侵。
-
持久性机制包括创建在常规系统操作期间执行的隐藏ABAP程序，确保即使在系统重启或安全补丁后仍能保持访问权限。
-
该利用脚本能够修改SAP核心功能同时保持不被检测，突显了企业SAP环境中加强监控的迫切需求。
延伸问答
SAP系统的零日漏洞利用脚本具备哪些能力？
该脚本具备高级远程代码执行能力，能够绕过安全控制，持续访问关键业务系统。
攻击者是如何利用SAP NetWeaver应用服务器的漏洞的？
攻击者通过构造HTTP请求，利用ICM组件的缓冲区溢出漏洞发起攻击，获取系统内存空间的初始立足点。
该恶意脚本如何确保持久性？
恶意脚本通过修改ABAP程序创建隐藏程序，确保即使在系统重启或安全补丁后仍能保持访问权限。
该漏洞利用脚本对企业的影响是什么？
该脚本能够修改SAP核心功能并保持不被检测，突显了企业SAP环境中加强监控的迫切需求。
恶意软件是如何进行数据外泄的？
负载采用开放式SQL注入技术操纵数据库查询，从而实现数据外泄和进一步的系统入侵。
为什么面向互联网的SAP安装特别容易受到攻击？
因为攻击载体主要针对具有暴露Web接口的系统，使得这些SAP安装特别容易受到攻击。
