国际威胁情报动态｜CVE-2024-3400 攻击链复盘：GlobalProtect 边界设备排查与处置

发布于4小时前4小时

2024 年 4 月，Palo Alto Networks 披露 PAN-OS GlobalProtect 命令注入漏洞 CVE-2024-3400。Volexity 将相关攻击活动归因跟踪为 UTA0218，CISA 随后将该漏洞加入已知被利用漏洞目录。该事件值得持续关注的原因并不只是漏洞本身，而是攻击者将互联网边界设备作为进入内网的第一跳，并进一步获取配置、凭据和横向移动条件。

本文面向已取得授权的防守排查和渗透验证场景，重点说明暴露面确认、日志取证、权限边界检查以及修复后的复核方法，不提供可直接执行命令注入的利用载荷。

一、情报背景与影响范围

CVE-2024-3400 是 GlobalProtect 相关处理流程中的未授权命令注入问题。攻击请求经过对外开放的 Portal 或 Gateway 后，受污染的数据可能进入系统命令处理上下文，使攻击者在无需有效 VPN 账号的情况下执行命令。

漏洞披露时给出的首批修复版本包括 PAN-OS 10.2.9-h1、11.0.4-h1 和 11.1.2-h3。由于这些分支后续仍有安全更新，实际处置时应安装厂商当前推荐版本，而不是停留在最早的 hotfix。早期公告曾将设备遥测配置作为判断条件，后续影响范围有所修订，因此不能仅凭“未启用 Device Telemetry”排除风险。

排查优先级应依据“是否对互联网开放 GlobalProtect Portal/Gateway、是否运行受影响版本、暴露期间是否存在异常行为”确定，而不是只检查单一配置开关。

二、典型内网攻防链路

从已公开的攻击活动看，边界设备失陷后的风险通常沿以下链路扩散：

扫描并确认公网 GlobalProtect 服务及设备特征。
利用未授权命令注入在设备侧执行系统命令。
写入临时文件或后门组件，建立持续访问能力。
读取运行配置、认证服务器地址、证书信息及服务账号配置。
利用 LDAP、RADIUS、SAML 或本地管理员凭据访问内部系统。
借助防火墙本身的网络可达性绕过常规终端隔离，探测管理网和业务网。

这里最容易被低估的是权限边界。边界设备通常同时连接互联网、认证基础设施和多个内部安全域，即使攻击者没有直接获得域管理员权限，也可能从配置文件、日志或认证链路中取得后续横向移动所需的信息。

三、授权环境中的安全验证

不建议在生产设备上通过执行命令注入来“证明漏洞存在”。对这类边界设备，版本、功能配置和互联网暴露状态已经足以构成有效验证依据。测试前应登记目标地址、来源地址和时间窗口，避免正常验证流量与真实攻击混淆。

# 从授权测试节点确认 HTTPS 暴露面和证书信息
nmap -Pn -sV -p 443 --script ssl-cert,ssl-enum-ciphers vpn.example.com

# 仅访问正常 GlobalProtect 页面，不附带注入参数
curl -k -sS -D headers.txt -o response.html \
  

# 在设备 CLI 上记录版本和相关配置
show system info
show config running | match global-protect
show config running | match telemetry

# 同时记录当前管理员和配置变更情况
show admins all
show jobs all

版本判断应以设备 CLI 和厂商资产平台为准，不要依赖网页标题、TLS 证书名称或扫描器猜测的版本。部分设备会隐藏版本信息，反向代理也可能使扫描结果失真。

四、问题定位与证据保全

如果设备曾在受影响期间暴露到互联网，应先保全证据，再执行升级或重启。升级可能覆盖日志和临时文件时间戳，重启还可能清除只存在于内存或临时目录中的痕迹。

建议至少收集以下材料：

设备技术支持包、运行配置和配置变更记录。
GlobalProtect、系统、认证、管理员登录及升级日志。
上游负载均衡、WAF、反向代理和公网防火墙访问日志。
设备所在网段的 DNS、NetFlow、代理和东西向流量记录。
LDAP、RADIUS、SAML IdP 侧的认证日志。
相关服务账号的登录源地址、登录时间和权限变更记录。

技术支持包包含网络结构、账号名称和部分敏感配置，应存放在受控取证目录中，并在传输前计算哈希。

# 在隔离取证主机上保全并检查技术支持包
sha256sum panos-techsupport.tgz | tee panos-techsupport.tgz.sha256
tar -tzf panos-techsupport.tgz > archive-file-list.txt
mkdir -p extracted
tar --no-same-owner -xzf panos-techsupport.tgz -C extracted

# 搜索常见命令执行、下载和持久化线索
# 命中并不等于入侵，需要结合时间、父进程和网络行为复核
grep -RniE 'wget |curl |base64[[:space:]]+-d|chmod[[:space:]]+\+x|/tmp/|/dev/shm/|python[^ ]* -c|sh -c' extracted/ \
  > suspicious-command-hits.txt

# 查找近期新增或修改的脚本、共享库和可执行文件
find extracted/ -type f \
  \( -name '*.py' -o -name '*.sh' -o -name '*.so' -o -perm /111 \) \
  -printf '%TY-%Tm-%Td %TH:%TM:%TS %s %p\n' | sort \
  > executable-timeline.txt

# 从导出的文本日志中定位 GlobalProtect 请求及异常响应
find extracted/ -type f -print0 | xargs -0 grep -niE \
  '/global-protect/|/ssl-vpn/|login\.esp|hipreport' \
  > globalprotect-request-hits.txt

搜索结果应按时间线分析。重点关注公网异常请求之后数分钟内出现的文件写入、命令解释器调用、外部 DNS 查询、设备主动连接陌生地址以及管理员会话。单独出现 curl、Python 或临时目录并不能直接认定失陷。

五、SIEM 关联排查思路

如果日志已进入 Splunk，可先以漏洞暴露窗口为基准，将 GlobalProtect 请求、设备出站连接和身份认证事件放在同一时间线上。下面的查询需要根据实际索引和字段名调整：

index=pan* earliest="03/20/2024:00:00:00" latest="05/01/2024:00:00:00"
| eval event_text=coalesce(description, message, msg)
| search event_text="*global-protect*" OR event_text="*ssl-vpn*"
| stats count min(_time) AS first_seen max(_time) AS last_seen
        values(src_ip) AS source_ip values(event_text) AS samples
        by host

index=netflow* src_ip IN ("防火墙管理地址","防火墙接口地址")
| where NOT cidrmatch("已批准的管理网段", dest_ip)
| stats count sum(bytes) AS total_bytes values(dest_port) AS ports
        by src_ip dest_ip
| sort - total_bytes

index=idp* OR index=radius* OR index=ldap*
| stats count values(src_ip) AS source_ip values(action) AS result
        by user, bin(_time, 5m)
| where count > 10

对于设备主动发起的外联，尤其要检查高位端口、首次出现的目的地址以及不符合既有基线的 DNS 域名。部分管理平面流量不一定进入设备自身 Threat Log，因此上游路由器、交换机和 DNS 服务器的记录往往更有价值。

六、权限边界检查

确认设备是否失陷不能只看是否存在后门文件，还要判断攻击者可能接触过哪些身份和信任关系：

LDAP 绑定账号是否拥有目录写入权限。正常情况下只应具备必要的查询权限。
RADIUS 共享密钥、SAML 私钥、API Key 和本地管理员密码是否存储或可由设备调用。
设备管理接口是否能够直接访问域控制器、虚拟化平台、备份服务器或运维跳板机。
是否存在多个系统共用同一服务账号或密码的情况。
管理员角色是否授予了不必要的配置导出、证书管理或脚本执行权限。

若发现服务账号从防火墙地址之外登录、短时间访问大量目录对象，或在漏洞暴露窗口后新增权限组成员，应按照凭据泄露事件处理，而不是只修补网络设备。

七、处置与修复建议

立即升级到厂商当前推荐的已修复版本，并确认高可用节点全部完成升级，避免备用节点仍运行受影响版本。
在上游设备临时限制 GlobalProtect 来源范围；无法限制时，至少启用区域封锁、速率限制和异常请求告警。
将管理接口放入独立管理网，只允许跳板机和监控平台访问，禁止直接暴露互联网。
限制防火墙管理平面的出站访问，仅放行更新、DNS、NTP、日志和明确批准的认证服务。
若存在明确命令执行、异常文件或外联证据，不应只安装补丁。应保全证据后按照厂商流程重建或更换设备，并重新导入经过审计的配置。
轮换本地管理员密码、LDAP/RADIUS 服务账号、API Key、SNMP 凭据及可能暴露的证书私钥。
检查 SAML 和 VPN 会话有效期，必要时撤销现有会话并重新签发相关证书。
审计从边界设备可达的内部网段，删除不必要的管理访问和跨区放行规则。

八、修复后的复核

完成升级并不代表事件结束。至少应复核设备实际运行版本、主备节点一致性、GlobalProtect 功能状态、管理员账号、配置差异和设备出站连接。随后从授权测试节点重新执行无害的暴露面扫描，确认管理端口未意外开放，正常 VPN 认证和日志转发没有因修复中断。

建议对设备及关联身份系统持续监控至少一个完整的凭据和日志保留周期。若在补丁安装后仍出现异常 DNS、陌生目的地址连接、配置自动回滚或管理员账号重复出现，应按持续驻留事件继续调查。

总结

CVE-2024-3400 反映出的核心风险，是互联网边界设备同时拥有高网络可达性、敏感配置和认证信任。有效处置不能停留在版本升级，而应覆盖暴露确认、证据保全、攻击链关联、权限边界审计、凭据轮换和修复后监控。对于已经出现命令执行或异常外联证据的设备，重建通常比原地清理更可靠。

2小时前2小时

这类事件排查要先区分“扫描/利用尝试”和“已经执行命令”。仅看到异常 SESSID 或目录穿越字符串，不能直接等同于设备已失陷；但如果出现命令输出文件、异常持久化或配置被修改，就不应只做升级。

建议按下面顺序处理：

先保全现场，再重启或恢复。导出 tech-support、配置快照以及 system、config、threat、GlobalProtect 相关日志，同时记录当前版本、内容版本和 HA 状态：
```
show system info
show high-availability state
show jobs all
show admins all
```
设备底层 shell 不建议自行开放，文件系统取证最好通过厂商支持流程完成，避免破坏时间戳和现场。
检查 GlobalProtect 请求中的异常路径。重点检索包含 SESSID、../、device_telemetry 的请求和告警，并关注外部地址在首次异常请求之后是否继续访问设备管理面或回连。不要只依赖单个 IOC，攻击者使用的文件名和命令很容易变化。
核对是否存在执行后的痕迹。尤其关注以下情况：
- 设备 Web 目录、临时目录中出现新文件或时间戳异常；
- 系统日志中出现非正常进程启动、计划任务或命令执行记录；
- 管理员账户、认证配置、证书、GlobalProtect 配置或策略发生非预期变更；
- 管理口或数据口对外产生无法解释的 DNS、HTTP(S)、SSH 连接。
如果日志平台支持，可先用类似条件做初筛：
```
("SESSID" AND ("../" OR "device_telemetry"))
OR (device_vendor = "Palo Alto Networks" AND action = "command-and-control")
OR (dst_asset = "PAN-OS" AND direction = "outbound" AND first_seen_after_exploit = true)
```
修复不能只关 Telemetry。应升级到厂商已修复的维护版本，例如最初发布的 10.2.9-h1、11.0.4-h1、11.1.2-h3 或各分支更新版本，并以当前安全公告为准。关闭 Device Telemetry 可以作为临时降险措施，但不应替代升级。
确认失陷后按重建处理。如果已确认命令执行或持久化，单纯升级、删除 IOC 文件不够。应隔离设备，使用可信镜像恢复/重建，重新导入人工审查过的配置，并轮换设备管理员、LDAP/RADIUS、API Key、证书私钥及可能经过该设备的其他凭据。

HA 环境也要分别检查两台节点，不能默认被动节点安全。处置时建议先升级并验证备用节点，再切流量；但如果主节点已经确认失陷，不要直接同步未经审查的配置和状态到干净节点。另外，管理面应限制到专用管理网或跳板机，GlobalProtect 接口上的威胁防护规则可启用厂商对应特征作为补充控制，但仍不能代替补丁和取证。

登录

精选回复