187 lines
9.3 KiB
Markdown
187 lines
9.3 KiB
Markdown
# R0Guard / 相关项目深度安全审计报告（扩展版）
|
||
|
||
---
|
||
|
||
## 一、审计范围与方法
|
||
|
||
本报告基于静态分析结果整理，内容涵盖：
|
||
- **多语言组件**：PHP / Node.js / C# / C++ / Electron / Python
|
||
- **系统架构层**：Web 管理端、代理层、客户端与工具链
|
||
- **配置文件与数据**：配置文件、SQL 初始化脚本、预编译二进制文件
|
||
- **逻辑层分析**：API 接口与系统调用逻辑
|
||
|
||
*注：本报告不包含动态运行验证，分析结果基于现有代码结构、行为模型与风险拓扑推断。*
|
||
|
||
---
|
||
|
||
## 二、系统整体架构（推断）
|
||
|
||
根据组件依赖与调用关系，该系统呈现出一种分布式、跨平台的**“多组件控制平台”**架构，而非单一闭环软件：
|
||
|
||
```
|
||
Web Admin Panel (PHP / Node / React)
|
||
│
|
||
├────────► Proxy Layer (Node.js)
|
||
├────────► Voice / RTC (TypeScript)
|
||
└────────► Screenshot Service (Python)
|
||
│
|
||
▼
|
||
Local Client Agent (C++ / Electron)
|
||
│
|
||
▼
|
||
Target Machine (Windows / TPM 硬件绑定)
|
||
```
|
||
|
||
---
|
||
|
||
## 三、核心攻击面分析
|
||
|
||
### 1. 远程命令执行 (RCE)
|
||
#### 🔴 IPMI / PHP 模块
|
||
- **风险代码模式**：
|
||
```php
|
||
exec("php $scriptPath $serverId");
|
||
```
|
||
- **原理解析**：系统未对 `$serverId` 等关键输入参数进行严格的过滤与转义，直接将外部参数拼接至系统命令行中。恶意攻击者可通过构造特殊参数实现命令注入。
|
||
- **🔴 Electron Preload (r0-voice)**：
|
||
- 在 Preload 脚本中直接暴露了高危系统调用（如 `exec(command)`、`taskkill /F /IM xxx`、`reg add ...`）。
|
||
- **风险模型**：Renderer 层（前端页面）具备直接触发系统命令的能力，等价于“浏览器页面 → 宿主机系统命令执行”的跨层攻击面。
|
||
- **【本项结论】** 存在明确的跨层 RCE 链路（Web 管理端 → Node.js 代理 → 操作系统）。
|
||
|
||
---
|
||
|
||
### 2. 权限提升与持久化
|
||
#### 📁 startup / startup_manager 模块行为
|
||
- **高危行为**：
|
||
1. 自动向 Windows Defender 写入白名单规则。
|
||
2. 利用特定机制绕过 UAC 自动提权启动主程序。
|
||
3. 修改注册表项实现开机自启动。
|
||
|
||
| 行为特征 | 风险等级 | 说明 |
|
||
| :--- | :---: | :--- |
|
||
| **Defender 白名单写入** | 🔴 高危 | 破坏本地终端安全防护，使后续恶意荷载免杀。 |
|
||
| **自动权限提升 (UAC)** | 🔴 高危 | 未经用户交互直接获取管理员/系统级权限。 |
|
||
| **注册表持久化驻留** | 🟠 中危 | 修改 `Run` 键值实现长期生存。 |
|
||
|
||
- **【本项结论】** 系统具备强烈的系统级持久化与防御规避能力。
|
||
|
||
---
|
||
|
||
### 3. 网络隐蔽通信 (C2 特征)
|
||
#### 🌐 pinned_dns.cpp
|
||
- **特征分析**：系统内部硬编码了特定的直连 IP 地址，采用自定义 DNS 解析机制（Bypass 系统原生 DNS 解析服务），并隐藏了 TLS 握手过程中的 SNI（Server Name Indication）信息，以规避流量审计。
|
||
#### 🌐 proxy 模块
|
||
- **安全配置缺陷**：
|
||
- 设置 `rejectUnauthorized: false`，主动关闭了 TLS 证书的双向校验，易遭受中间人攻击（MITM）。
|
||
- JWT（JSON Web Token）采用固定且硬编码的 `secret`。
|
||
- 核心节点 IP 地址硬编码（如 `.135` / `.136` 网段）。
|
||
- **【本项结论】** 具备典型的命令与控制（C2）隐蔽通信与反流量监控能力。
|
||
|
||
---
|
||
|
||
### 4. 远程监控能力（屏幕与音频）
|
||
#### 📺 live_stream.cpp
|
||
- **核心功能**：实现 FLV / H.264 视频流的实时硬件/软件编码，支持屏幕画面实时推流。同时内嵌 FRP（Fast Reverse Proxy）内网穿透组件，允许外部直接发起访问。
|
||
- **数据流拓扑**：
|
||
```
|
||
目标屏幕 ──► H.264编码 ──► FRP内网穿透 ──► 远程管理端 ──► 实时监视
|
||
```
|
||
#### 🎙️ r0-voice
|
||
- **核心功能**：底层音频无感采集，并将音频数据切片上传至配置为 `public-read`（公共可读）的 S3 对象存储空间。
|
||
|
||
| 功能模块 | 暴露风险 | 潜在危害 |
|
||
| :--- | :---: | :--- |
|
||
| **屏幕监控** | 🔴 高危 | 实时窃取用户桌面隐私与敏感凭据。 |
|
||
| **音频上传** | 🔴 高危 | 长期监听环境语音。 |
|
||
| **公共存储** | 🔴 高危 | 敏感音视频资产公网暴露，易发生数据二次泄露。 |
|
||
|
||
- **【本项结论】** 系统内置了完整的音视频隐蔽监控与外发链路。
|
||
|
||
---
|
||
|
||
### 5. 设备指纹与用户追踪
|
||
#### 🔑 tpm_machine_id.cpp
|
||
- **技术实现**：通过读取目标主机的 TPM（可信平台模块）硬件特征，生成唯一的设备识别码（Machine ID）。该标识具有不可篡改性，即使用户重装系统也无法摆脱追踪。
|
||
#### 👥 ilanzou 用户系统
|
||
- **安全缺陷**：
|
||
- 全局存在默认弱口令。
|
||
- 用户接口未做鉴权拦截，可被轻易枚举。
|
||
- 加密逻辑中的密钥存在硬编码现象。
|
||
- **【本项结论】** 具备对目标终端进行高强度、长周期的设备绑定与用户追踪能力。
|
||
|
||
---
|
||
|
||
### 6. 反安全软件机制
|
||
#### 🛡️ antivirus_detector.cpp
|
||
- **静态行为**：动态枚举本地进程列表，比对主流反病毒软件（杀软）特征码，并根据检测结果采取针对性的规避或对抗策略。
|
||
#### 🛡️ startup_manager & goverlay
|
||
- **对抗手段**：除强制写入 Defender 白名单外，`goverlay` 模块中包含大量未签名 DLL 及注入器（Injector），且部分核心组件属于无源码的预编译二进制文件，存在“黑盒”安全隐患。
|
||
- **【本项结论】** 具备成熟的反沙箱、反杀软等高级主动防御规避机制。
|
||
|
||
---
|
||
|
||
### 7. Web 层安全问题
|
||
#### 🌐 IPMI 管理系统
|
||
- **高危风险**：用户密码采用过时的 MD5 算法进行单向散列存储（易被彩虹表碰撞破解）；出厂自带默认弱口令（如 `admin/admin123`）；跨域资源共享（CORS）配置为全局开放（`*`）；完全缺失 CSRF（跨站请求伪造）防护令牌。
|
||
#### 🌐 obj_screenshot (Flask 模块)
|
||
- **高危风险**：代码中声明 `app.run(host="0.0.0.0", debug=True)`。
|
||
- **危害**：Flask 的 `debug` 模式在公网暴露时，其自带的交互式控制台（Console）可被直接利用，从而导致**远程代码执行 (RCE)**。
|
||
#### 🌐 前端模板 (React/React Native)
|
||
- **风险**：滥用 `dangerouslySetInnerHTML` 且未进行严格的恶意标签过滤，存在高度的存储型/反射型 XSS 风险。
|
||
- **【本项结论】** Web 控制端整体安全基线较低，极易作为攻击突破口。
|
||
|
||
---
|
||
|
||
## 四、核心攻击链路分析
|
||
|
||
基于上述单点风险，可推演出一条完整的**纵深攻击拓扑链路**：
|
||
|
||
```
|
||
[Web端弱口令/XSS/RCE突破]
|
||
│
|
||
▼
|
||
[PHP / Node.js 后端 API 越权调用]
|
||
│
|
||
▼
|
||
[Electron Preload 触发宿主机底层系统命令 (exec)]
|
||
│
|
||
▼
|
||
[本地客户端 Agent 提权并写入防护白名单]
|
||
│
|
||
▼
|
||
[激活屏幕流与环境音频无感采集]
|
||
│
|
||
▼
|
||
[利用硬编码 C2 与 FRP 穿透屏障，外发敏感资产]
|
||
```
|
||
|
||
### 🚨 链路特征总结
|
||
该攻击链路具备高度的自动化与闭环性，涵盖：**远程代码执行 → 防护绕过 → 权限提升 → 深度监控 → 隐蔽驻留 → 数据外发**。
|
||
|
||
---
|
||
|
||
## 五、系统整体风险评级
|
||
|
||
| 核心安全能力 | 是否具备 | 风险权重 |
|
||
| :--- | :---: | :---: |
|
||
| **远程命令执行 (RCE)** | ✔ 已具备 | 🔴 高 |
|
||
| **屏幕实时监控 (Screen Monitor)** | ✔ 已具备 | 🔴 高 |
|
||
| **音频无感采集 (Audio Capture)** | ✔ 已具备 | 🔴 高 |
|
||
| **硬件级别追踪 (TPM Bind)** | ✔ 已具备 | 🟠 中 |
|
||
| **网络隐蔽通信 (C2/Bypass)** | ✔ 已具备 | 🔴 高 |
|
||
| **高级持续驻留 (Persistence)** | ✔ 已具备 | 🔴 高 |
|
||
|
||
### 🔴 最终审计评级
|
||
**系统级高危 (System-Level High Risk)**
|
||
|
||
---
|
||
|
||
## 六、核心结论
|
||
|
||
本项目的核心风险不在于“单点漏洞的数量”，而在于其**功能设计的本质走向**：
|
||
1. **高危能力高密度组合**：系统将远程控制、静默监控、防御对抗、内网穿透等高危模块深度耦合。
|
||
2. **跨组件权限链畅通**：从最外层的 Web 端到最内层的操作系统内核层，缺乏必要的格栅化权限隔离措施。
|
||
3. **闭环生态链**：已具备完整的隐蔽通信、全方位监控与长期驻留控制闭环。
|
||
|
||
> 🚨 **一句话总结**：该系统在客观上已经具备了“远程控制 + 深度监控 + 强持久化 + 流量隐蔽”的完整 APT/木马化能力链条，安全风险极高。
|
||
``` |