CVE-2009-3693 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：HP LoadRunner 9.5 的 Persits.XUpload.2 ActiveX 控件存在**目录遍历漏洞**。 🔥 **后果**：攻击者可利用 `MakeHttpRequest` 方法的第三个参数，通过构造 `..\` 序列，在目标系统上**创建任意文件**。
Q2根本原因？（CWE/缺陷点）
🛡️ **缺陷点**：ActiveX 控件（XUpload.ocx）未对用户输入的**路径参数**进行严格校验。 🔍 **CWE**：数据中未提供具体 CWE ID，但典型属于路径遍历/目录穿越类缺陷。
Q3影响谁？（版本/组件）
📦 **受影响组件**：HP LoadRunner 9.5 版本。 🧩 **具体模块**：Persits.XUpload.2 ActiveX control (XUpload.ocx)。
Q4黑客能干啥？（权限/数据）
💻 **黑客能力**： 1. **任意文件创建**：可写入恶意脚本或配置文件。 2. **权限提升**：若服务权限高，可能获得系统控制权。 3. **数据窃取/篡改**：通过替换关键文件间接影响数据完整性。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**： - **无需认证**：描述暗示远程攻击者可直接利用。 - **配置依赖**：需受害者机器加载该 ActiveX 控件（通常通过网页或特定应用调用）。 - **技术简单**：只需构造包含 `..\` 的请求参数。
Q6有现成Exp吗？（PoC/在野利用）
📜 **现成 Exp**： - **PoC 状态**：数据中 `pocs` 字段为空，无直接 PoC 代码。 - **参考来源**：有第三方安全站点（Secunia 36898）和博客（retrogod.altervista.org）提及，说明**利用概念已公开**，实际 Exp 可能存在于地下市场。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**： 1. **版本检查**：确认是否运行 HP LoadRunner 9.5。 2. **组件扫描**：检测系统中是否存在 `XUpload.ocx` 且版本为 Persits.XUpload.2。 3. **流量监控**：监控对 `MakeHttpRequest` 方法的异常调用，特别是参数中包含 `..\` 的请求。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**： - 数据中未提供官方补丁链接或版本号。 - 建议查阅 HP 官方安全公告或升级到非受影响版本。 - **缓解措施**：通常此类漏洞需通过更新控件或禁用 ActiveX 来修复。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **禁用 ActiveX**：在浏览器或应用中禁用未签名的 ActiveX 控件。 2. **网络隔离**：限制 LoadRunner 服务器对外部不可信请求的访问。 3. **输入过滤**：在应用层对 `MakeHttpRequest` 的参数进行严格的路径白名单校验。
Q10急不急？（优先级建议）
⚠️ **优先级**：**高**。 - **理由**：远程可利用、无需认证、后果严重（任意文件创建）。虽然 CVE 年份较早（2009），但若系统仍在使用旧版 LoadRunner，风险极大。建议立即排查并隔离。