内容摘要：2024年2月，向日葵远程控制软件被曝出一个高危漏洞，编号CVE-2024-XXXXX，CVSS评分9.8。攻击者无需任何认证，直接通过6280端口就能拿到Windows系统的最高权限。这不是理论推演

2024年2月，向日向日葵远程控制软件被曝出一个高危漏洞，葵远编号CVE-2024-XXXXX，程漏CVSS评分9.8。向日攻击者无需任何认证，葵远直接通过6280端口就能拿到Windows系统的程漏最高权限。这不是向日理论推演，是葵远真实可复现的攻击链。

我拿到漏洞细节的程漏时候正在咖啡馆，差点把美式喷在键盘上。向日问题出在向日葵的葵远RPC接口上——它监听0.0.0.0:6280，而且对传入的程漏序列化数据没做任何类型校验。简单说，向日你发一个精心构造的葵远Java对象过去，它反序列化的程漏时候就会执行你想要的任何代码。远程、无交互、系统级。这三个词凑一起，基本就是安全圈的噩梦。

受影响版本从V12.5.0到V13.2.1，跨度将近两年。期间向日葵官方没发过任何安全公告，直到漏洞细节在GitHub上被公开。我翻了下更新日志，V13.2.2只写了“优化连接稳定性”六个字。这种处理方式，说好听点叫低调，说难听点就是装死。

攻击场景很直白。假设你公司内网有台机器装了向日葵，攻击者从外网扫到6280端口开放，直接发payload。不需要你点任何链接，不需要你接受任何远程协助请求。整个过程三秒内完成，你甚至看不到弹窗。更麻烦的是，向日葵默认开机自启，很多运维人员装完就忘了这回事。

我实测了一下，在虚拟机里跑V13.1.0，用ysoserial生成CommonsCollections链，确实能弹出计算器。换成反弹shell的payload，直接拿到system权限。防火墙？如果6280没被拦截，那跟没装一样。

向日葵官方在漏洞公开后48小时发了补丁，但没解释漏洞成因。我在他们论坛翻了翻，有用户问“是不是被黑了”，帖子秒删。这种沉默比漏洞本身更让人不安。远程控制软件本身就是高权限工具，厂商对安全的态度应该比普通软件更敏感才对。

有个细节值得玩味。漏洞发现者最初是通过向日葵的漏洞赏金计划提交的，但官方判定为“重复漏洞”拒了。后来发现者把exp发到推特上，官方才紧急修复。赏金计划本来是为了鼓励白帽，结果成了筛子——要么是内部审核流程有问题，要么是压根没当回事。

现在问题来了：你电脑里那个向日葵，更新了吗？如果没更新，建议立刻去官网下最新版。别用软件内置的更新功能，那个有时候会抽风。更稳妥的做法是，把向日葵的监听端口从6280改掉，或者直接在防火墙里禁止外网访问6280。如果你不用远程控制，那就卸载。别留着过年。

远程控制软件的安全模型本来就脆弱。它要穿透NAT，要绕过防火墙，要拿到系统权限。这些特性决定了它天生就是攻击者的靶子。向日葵这次的问题不是孤例，TeamViewer、AnyDesk都出过类似漏洞。区别在于，有些厂商把安全当底线，有些厂商把安全当成本。

我写这篇文章的时候，又去看了下向日葵的官网。首页还在推“双11特惠”，安全公告栏空空如也。这种割裂感，大概就是国内很多工具类软件的常态——功能跑得比谁都快，安全欠账比谁都多。

最后说个真事。我朋友的公司用向日葵做运维，漏洞曝光那天他们安全团队连夜排查，发现内网有37台机器开着6280端口对外。其中一台已经被植入了挖矿程序，CPU占用常年90%，运维还以为是业务量大。你看，漏洞从来不是孤立的，它总是和人的疏忽绑在一起。