深入底层：聊聊思科CVE-2026-20245如何通过一个恶意CSV实现完美越权

原创

Hankzheng
Hankzheng

技术修道场

2026年6月29日 08:00
广东

在小说阅读器读本章

去阅读

大家好，谷歌旗下的安全大厂 Mandiant 披露了一个惊心动魄的真实 APT 攻击案例：思科（Cisco）的 Catalyst SD-WAN 被黑客揪出了一个高危 0-day 漏洞（CVE-2026-20245）。更绝的是，在官方正式公开这个漏洞的至少两个月前，黑客早就拿着它悄悄潜入某家大型通信服务提供商的内部网络了。

今天我就和大家坐下来聊聊，这帮“黑产天花板”到底是怎么用一个看起来平平无奇的 CSV 文件直接拿到系统最高 Root 权限的，又是怎么把反取证玩到极致、悄无声息地在系统底层塞进后门的。纯干货技术复盘，搬好小板凳，我们直接开搞！

01 惊魂序幕：两波攻势与“借尸还魂”的初始凭证

在扯底层原理之前，我们先来看看这波高手的“前戏”有多足。这次攻击并不是一蹴而就的，黑客先后发动了前后两波攻势，环环相扣。

第一波（2025年底 - 2026年1月）：

黑客利用了思科 SD-WAN 控制器中尚未公开的两个认证绕过 0-day 漏洞（CVE-2026-20127 或 CVE-2026-20182），强行建立了未授权的对等网络连接（Unauthorized Peering Connections）。就在这一阶段，他们悄悄窃取了设备的合法证书。
* 第二波（2026年3月）：

目标企业也不是吃素的，很快把系统升级到了修复 CVE-2026-20127 的新版本。结果黑客第二波杀回来时，发现老路被堵死了。但人家根本不慌，直接祭出了前一波偷来的合法证书，强行“借尸还魂”，再次成功拿到了初始访问权！

这一波连招直接证明了一件事：在高级 APT 进阶对抗中，单纯靠补丁是不够的，凭证泄露能让防护瞬间形同虚设。只要黑客拿到了 netadmin（网络管理员）权限，真正硬核的“好戏”就开场了。

02 核心绝杀：上传恶意 CSV 怎么就直达 Root 了？

拿到初始访问权并登录进入管理账户后，黑客的目标非常明确：拿 Linux 底层的 Shell 控制权，也就是 Root 提权。

这时候，本次事件的主角 CVE-2026-20245（CVSS 评分 7.8）正式登场。

漏洞底层原理剖析

根据思科官方和 Mandiant 的分析，这个漏洞的本质是典型的输入验证不严格导致的命令注入漏洞。

在思科 Catalyst SD-WAN 的管理面板中，管理员可以上传文件来配置多租户或网络策略。黑客正是利用了这一业务逻辑，精心构造了一个名为 evil_tenant.csv 的恶意文件并上传到系统中。

为什么一个 CSV 文件能导致提权？

在很多网络固件或架构设备中，Web 管理端收到用户上传的 CSV/XML 等配置文件后，后台会调用底层的 Linux 脚本（如 Python、Perl 或 Shell 脚本）来解析文件内容。如果后台脚本在读取 CSV 的字段时，没有对内容进行严格的过滤、转义，就直接拼接到系统命令（如 system() 或 popen()）中去执行，黑客就可以在 CSV 内部的文本行里夹带诸如 ;、&& 或 $() 的恶意 Shell 管道符。

假设后台存在一段类似下面的脆弱代码逻辑：

# 伪代码示例：后台未过滤直接拼接系统命令
tenant_name = read_csv_field(file, \"tenant_id\")
os.system(f\"/usr/bin/create_tenant_env.sh --name {tenant_name}\")

当黑客在 CSV 的 tenant_id 字段中写入类似于 mytenant; id; 这样的内容时，后台实际执行的命令就会变成：

/usr/bin/create_tenant_env.sh --name mytenant; id;

因为处理该上传文件的后台核心服务本身具有极高的系统权限，当黑客的命令被恶意注入并触发执行时，直接就脱离了思科原本的受限 CLI 环境，直接在底层宿主机上以 Root 权限 执行了任意系统命令！

“troot”隐藏后门的诞生

通过这个 CSV 注入漏洞，黑客在底层直接执行了修改用户账户的命令，他们在操作系统的两个核心鉴权文件中动了手脚：

# 黑客通过漏洞注入在后台悄悄写入了隐蔽的 Root 级后门账户
echo \"troot:x:0:0:root:/root:/bin/sh\" >> /etc/passwd
# 同时在 /etc/shadow 中写入该账户对应的加密密码哈希

通过把名为 troot 的账户 UID 和 GID 都设为 0，黑客在系统内创造了一个与 Root 完全等价的超级用户。最阴的是，这种直接在 Linux 底层文件写死的用户，在思科上层的 SD-WAN Web 管理界面或标准审计日志里是很难被直接察觉的。

03 顶级伪装：把“反取证”玩到极致的自动化抹痕

要说这帮黑客最让人头皮发麻的地方，绝对不是他们找 0-day 的能力，而是他们神乎其技的反取证技术（Anti-Forensics）。他们把“悄悄地进村，打枪的不要”发挥到了极致：

1. 密码“闪击战”： 黑客用提权漏洞改掉了默认的 admin 密码，迅速拖走了整套 SD-WAN 的架构配置数据（Fabric Configuration）。最骚的操作来了：数据到手后，他们立刻把 admin 密码又给改回了原值！这样一来，真正的管理员在登录时完全不会触发“密码错误”的警报，根本意识不到已被入侵。

2. 选择性擦除与复原： 他们没有像毛头小子那样粗暴地清空全部日志（清空日志等于直接告诉管理员这里有鬼），而是有针对性地只删除和自己操作相关的配置文件、行记录，并精准复原了被他们动过的一部分系统环境。

3. 自动化脚本做“质检”： 在撤离现场前，黑客甚至运行了一套自动化验证脚本，用来检查系统里是否还残留有他们进场过的任何蛛丝马迹（IoC）。确认全部擦干净后，才放心断开连接。

这种级别的保密意识，让安全团队的事后追溯和取证分析（Forensic Analysis）变得极其艰难，甚至连常规的日志审计都直接抓瞎。