這是一起針對日本流行學習管理系統 KnowledgeDeliver 的資安事件。攻擊者利用了一個高風險的零日漏洞（CVE-2026-5426），成功在伺服器上部署 Web Shell 並進一步感染使用者端設備。對於開發者與維運工程師來說，這次事件的核心在於一個非常基礎但致命的錯誤：在設定檔中使用了硬編碼的共享金鑰。
理解漏洞核心：ASP.NET 的 ViewState 與 MachineKey
在 ASP.NET 框架中，有一個機制叫做 ViewState。因為 HTTP 是無狀態的，伺服器需要一種方式來記住頁面在使用者提交表單（Postback）之前的狀態，於是將這些狀態數據編碼後存放在頁面的隱藏欄位中，也就是 ViewState。
為了防止使用者隨意篡改這些狀態數據，ASP.NET 使用了 MachineKey 進行加密與簽署。MachineKey 就像是一把私鑰，伺服器用它來確保接收到的 ViewState 是由自己產生的，且沒有被第三方修改過。
如果這把金鑰是隨機且唯一的，攻擊者無法偽造有效的 ViewState。但 KnowledgeDeliver 的問題在於，其提供的標準安裝設定檔（web.config）中，直接硬編碼（Hard-coded）了統一的 MachineKey 數值。這意味著所有使用預設設定安裝該系統的客戶，都在使用同一把金鑰。
從反序列化到遠端程式碼執行
當攻擊者得知了這把共享金鑰後，他們就可以在本地端構造一個惡意的 ViewState 載荷（Payload）。由於伺服器使用相同的金鑰來驗證，它會認為這個惡意的載荷是合法且可信的，進而對其進行反序列化（Deserialization）。
反序列化是指將數據流還原為記憶體中物件的過程。如果程式在反序列化時沒有對輸入內容進行嚴格限制，攻擊者就可以透過精心設計的物件，強制伺服器執行任意的系統指令。這就是為什麼這個漏洞被定義為遠端程式碼執行（RCE, Remote Code Execution），因為攻擊者無需登入，只要發送一個 HTTP 請求，就能讓伺服器執行他們想要的程式。
攻擊鏈的演進：從伺服器到終端使用者
這次攻擊並非單純的伺服器入侵，而是一個完整的攻擊鏈：
首先，攻擊者利用 RCE 漏洞部署了名為 Godzilla 的 Web Shell。Web Shell 是一種植入伺服器的後門程式，讓攻擊者能透過瀏覽器直接對伺服器下指令。
接著，攻擊者透過 Web Shell 提升權限，將網頁應用程式目錄的存取權限開放給所有人（Everyone），確保後續操作不會被權限攔截。
最後，攻擊者採取了社交工程手段。他們修改了網站的 JavaScript 檔案，當使用者訪問頁面時，會彈出一個偽造的安全警告，誘導使用者安裝所謂的安全認證插件。
這個插件實際上是惡意軟體，一旦安裝，便會在使用者電腦中部署 Cobalt Strike Beacon。這是一種強大的滲透測試工具，被攻擊者用來維持對受害者電腦的長期控制並竊取資料。值得注意的是，攻擊者甚至針對特定組織加密了載荷，顯示這是一場有預謀的定向攻擊。
工程實務的教訓與防範
這次事件給所有工程師三個重要的提醒：
第一，絕對禁止在部署模板或原始碼中硬編碼金鑰。任何用於加密、簽署或驗證的 Secret 必須在部署時動態生成，且每個實例（Instance）都應擁有唯一的金鑰。如果所有客戶共用一把鑰匙，只要其中一個被洩露，整個生態系的客戶全部都會淪陷。
第二，謹慎處理反序列化。反序列化是一個天然的高風險區，應盡量避免對不可信的輸入進行反序列化，或使用更安全的格式（如 JSON）並配合嚴格的類型檢查。
第三，實施端點監控與最小權限原則。如果伺服器上的目錄權限被異常修改（例如突然變成 Everyone Full Control），監控系統應能第一時間發出警報。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。