向日葵远控软件存在远程代码执行漏洞（CNVD-2022-10270）
前言
2月17日，国家信息安全漏洞共享平台（CNVD）披露了远程桌面控制软件——向日葵存在远程命令执行漏洞（CNVD-2022-10270），聚铭网络第一时间响应，旗下
一、漏洞描述
CNVD披露了Oray旗下向日葵远控软件存在远程代码执行漏洞（CNVD-2022-10270）与（CNVD-2022-03672），影响Windows系统中的个人版和简约版，攻击者可利用该漏洞获取服务器控制权。目前已发现有漏洞利用演示视频公开，请相关用户尽快采取措施进行防护。
二、受影响的版本
向日葵个人版for Windows <= 11.0.0.33
向日葵简约版 <= V1.0.1.43315（2021.12）
三、漏洞复现
【1、端口探测】
开启向日葵并提示连接成功的时候会出现一个40000-60000的端口，这个时候我们可以利用portscan(或其他扫描工具)进行扫描。
图1 打开向日葵软件
图2 扫描端口
【2、漏洞扫描】
使用curl ip:[端口号] ，如下响应结果表示存在漏洞，没有回显表明漏洞不能被利用。
图3 测试端口是否可利用
【3、获取session值（远程验证码）】
图4 获取session值
【4、命令执行】
将获取到的session值加进cookie，再利用特殊格式的发送执行命令，如’whoami’，请求尝试看是否可以获取到主机名称，如果有回显则证明这个漏洞成功复现。
图5 执行命令whoami成功
四、修复方案
1.向日葵官方已发布了修复版本，请及时更新：https://sunlogin.oray.com/
2.如果目前无法升级，在业务环境允许的情况下，使用白名单限制web端口的访问来降低风险。
五、支持检测
聚铭网络旗下网络流量智能分析审计系统（iNFA）现已支持对向日葵远程命令执行攻击行为的流量检测。
图6 检测出黑客窃取终端认证信息
图7 检测出黑客开始执行远程命令
六、声明
本安全公告仅用来描述可能存在的安全问题，不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。
向日葵控控A2：我的“无网”救星，远程控制的黑科技神器！
身为一个设计师，图纸和方案、预算都在公司电脑里，更何况有时候还需要查看之前客户产品生产的进度，所以我最怕下班时候接到了突如其来的工作任务。有时候想在家享受一个悠闲的周末，中者刚跟朋友约好了去露营烤串，却不得不加班，那种烦恼真是令人抓狂。
或者你会说，临时加班用远程控制软件就行了啊，可是你想过没有，我们公司电脑处于内网，单靠远程控制软件可无能为力，这也是我下决心要用向日葵控控A2的主要原因，它可以实现无网远控，装一部在公司电脑上，即使公司电脑处于内网环境，或者系统崩溃、死机等状态，只要控控A2能正常联网，我就可以在异地轻松进行远程控制。
外观小巧，不占地方：
外观上，向日葵控控A2的主机是深沉的黑色系，顶部是品牌LOGO。尺寸挺小巧，只有100*100*25.5mm，跟一个普通的电视盒子差不多大。这种小巧的身材，放在办公桌上也不占地方，非常适合我们这种桌面空间有限的打工人。
接口丰富，功能强大：
向日葵控控A2的接口设计，非常人性化。后部功能区域从左到右依次配备了RJ45网络插口、Type B接口、HDMI高清视频接口和12V-1A电源接口。这些接口，让控控A2可以轻松连接到被控制的主机，都非常方便。
向日葵控控A2还配备了一个Type A接口，这个接口可以用来连接4G无线上网卡或者USB摄像头。也就是说，即使没有宽带网络，或者被控主机处于内网环境，只需要购买一个4G上网卡插到控控A2上，你就可以通过手机、笔记本上的向日葵APP远程被控主机，而且即插即用，被控主机上无须安装任何软件，我平时拿着笔记本去客户家碰方案看图或者报价时，简直不要太方便！
简单设置，轻松上手：
在使用向日葵控控A2之前，我还真有点担心，怕操作不好，怕自己不会链接。但实际上，连接过程非常简单。只需要按照说明书上的步骤，将被控制主机通过一根HDMI高清数字线和一根USB连接线与控控A2连接，以手机远程控制电脑为例，我们需要先在手机上安装“向日葵远程控制”App，然后根据软件界面的向导一步步将向日葵控控A2绑定，需要注意的是目前向日葵控控A2仅支持2.4GHz的无线网络，如果你的WiFi有双频合一功能，记得提前关闭。
通过向日葵APP，我可以轻松实现对远程电脑的控制。APP界面简洁明了，功能键一目了然，无论是查看桌面、控制鼠标操作还是进行键盘录入工作，都可以通过触控屏幕轻松完成。这种控制方式感觉非常流畅，只想说，方便！太方便了！
应用场景广泛，满足各种需求：
除了智能手机和平板之外，还可以通过电脑或笔记本安装向日葵远程控制软件来控制远程电脑。其实就我个人而言，更喜欢用电脑，因为相比于手机或平板来说，使用电脑进行控制更加方便和高效。毕竟鼠标和键盘的操作要比触控屏幕来得更加直接和精准。
目前向日葵控控A2可以支持包括桌面控制 、桌面观看、摄像头和SSH等四种功能，日常的远程控制、远程运维完全够用。
向日葵控控A2的应用场景之广泛简直超出了我的想象。除了可以在家远程控制办公室的人网电脑外，由于它是基于BIOS底层的远控，所以它还可以用于机房环境下管理多台服务器，能够远程解决服务器蓝屏故障、远程重装服务器系统！
它还支持远程SSH功能，通过远程SSH，运维人员可以轻松地对远端机房的交换机进行远程设置和维护工作，这简直就是IT运维人员的福音，这得提高了多少工作效率啊！
安全性高，数据传输稳定：
数据安全，在信息时代已经是必须要考虑的问题了。向日葵控控A2的安全性能非常高，它采用了国际2048位RSA非对称密钥交换和基于AES加密机制的自主P2P数据传输协议等技术手段，来确保数据传输的稳定性和安全性，使用时就感觉非常的放心，踏实。
总结体验
经用了一段时间，整体对向日葵控控A2的表现确实很满意，它不受控制端网络环境影响、无需在控制端安装软件就能实现远程控制，支持多种操作系统、高清分辨率传输能力以及强大的数据加密技术，搭配4G上网卡使用还能满足更多场景需求，这性能真的是，必须赞一个！
前两天周末时，一个客户家安装家具时发现有问题，工人给我带打电话要原始的数据和图纸，我正好在家，通过控控A2一查公司电脑里的原始数据，才知道问题不是出在我们的产品上，打电话给客户解释清楚后也获得了他的理解。
所以说向日葵控控A2真的是解决了我在远程控制方面的各种需求，让我享受到了科技带来的便捷和高效。无论是外观设计、接口丰富性、功能强大性还是安全性方面都相当的不错。想摆脱被网络环境束缚的烦恼，享受自由自在的远程控制体验，可以试试向日葵控控A2，入手不亏！
#pgc-card .pgc-card-href { text-decoration: none; outline: none; display: block; width: 100%; height: 100%; } #pgc-card .pgc-card-href:hover { text-decoration: none; } /*pc 样式*/ .pgc-card { box-sizing: border-box; height: 164px; border: 1px solid #e8e8e8; position: relative; padding: 20px 94px 12px 180px; overflow: hidden; } .pgc-card::after { content: " "; display: block; border-left: 1px solid #e8e8e8; height: 120px; position: absolute; right: 76px; top: 20px; } .pgc-cover { position: absolute; width: 162px; height: 162px; top: 0; left: 0; background-size: cover; } .pgc-content { overflow: hidden; position: relative; top: 50%; -webkit-transform: translateY(-50%); transform: translateY(-50%); } .pgc-content-title { font-size: 18px; color: #222; line-height: 1; font-weight: bold; overflow: hidden; text-overflow: ellipsis; white-space: nowrap; } .pgc-content-desc { font-size: 14px; color: #444; overflow: hidden; text-overflow: ellipsis; padding-top: 9px; overflow: hidden; line-height: 1.2em; display: -webkit-inline-box; -webkit-line-clamp: 2; -webkit-box-orient: vertical; } .pgc-content-price { font-size: 22px; color: #f85959; padding-top: 18px; line-height: 1em; } .pgc-card-buy { width: 75px; position: absolute; right: 0; top: 50px; color: #406599; font-size: 14px; text-align: center; } .pgc-buy-text { padding-top: 10px; } .pgc-icon-buy { height: 23px; width: 20px; display: inline-block; background: url(https://lf3-cdn-tos.bytescm.com/obj/cdn-static-resource/pgc/v2/pgc_tpl/static/image/commodity_buy_f2b4d1a.png); } 向日葵控控A2无网远程办公 ￥768 购买相关问答
我的电脑被老板安装了向日葵远程控制-ZOL问答
那就留着呗~他一般就能远程看看你的电脑工作桌面,你不开小差就得了~有用(0)回...是通过微软认证的工具,维护电脑用的,如果不放心可以装杀毒软件杀下毒,只要没...
向日葵远程控制可以免费使用吗?-ZOL问答
向日葵远程控制手机是提供免费服务的。所有注册向日葵账号的用户都可以免费获得向日葵的授权,并且主机授权没有限制,授权一直有效。无论个人用户还是企业用户...
向日葵远程控制软件的常见问题?
1.关于win2000主控端无法使用远程桌面问题?由于win2000默认不会自带GDI+,所以会出现win2000的主控端无法使用远程桌面的问题。用户只需要安装微软提供的GDI+...
云开·全站APPApp官方下载(官方)最新IOS//手机版APP下载_微思
🦊云开·全站APPApp官方下载👠支持:64/128bit🤥是一款拥有多年远控技术经验的远程控制软件,可远程控制手机,远程桌面连接,远程开机,远程管理等,并深入各行各业提...
怎样解除向日葵远程临时控制请求?
答:解除向日葵远程临时控制请求的方法:1、在向日葵客户端登录界面点击右上角的设置按钮。2、在“安全设置”界面中取消选中“远程断开后自动锁定屏幕”选项...
如何关闭向日葵远程控制中带宽最高享300kb/s弹窗界面?
1、点击桌面上的向日葵图标,启动软件。2、等待软件启动进入主页。3、点击右角上的主菜单。4、菜单下拉菜单中点击5、将开机启动前面勾选去掉。6、设置完...
向日葵远程控制是免费的吗?
向日葵远程操控,据了解免费版只提供了一个服务器即一条线路,在网络高峰期使用时延迟高这个可以理解,毕竟只是免费使用的,付费版提供了多条线路供于使用,若只...
云开·kaiyun官方网站(官方)最新下载IOS//手机版APP_微思
🦷云开·kaiyun官方网站👑支持:64/128bit🩲是GIF快手官方推出的一款游戏直播软件,快手直播伴侣电脑版支持win7、win8.1和win10系统,主播们现在可以在电脑上边玩...
向日葵cmd功能有什么用?
远程控制DOS命令也能派上用场,这在以前是连想都不敢想的,现在有了向日葵远程控制软件的帮忙,一切轻松实现。向日葵是一款完全免费的远程控制软件,拥有5秒快...
向日葵远程控制电脑无缘无故的自己下载安装了，为什么啊?
向日葵远程控制电脑无缘无故的自己下载安装了,出现这种情况,有可能是电脑中病毒了,或者是其它软件携带的恶意广告应用。向日葵远程控制电脑无缘无故的自己下...
