CVE-2020-13166 — 神龙十问 AI 深度分析摘要

🚨 **本质**：MyLittleAdmin 存在**信任管理问题**。所有安装版本共用同一个**硬编码 machineKey**。后果：攻击者可伪造 ViewState，导致**远程任意代码执行 (RCE)**。

🔍 **根本原因**：**CWE-345** (信任管理缺陷)。缺陷点在于**硬编码的 machineKey**，导致 ViewState 签名验证形同虚设，无法保证数据完整性。

📦 **影响对象**：法国 MyLittletools 公司的 **MyLittleAdmin** 工具。主要影响 **v3.8 版本**（及可能存在相同硬编码的其他版本）。

💀 **黑客能力**：**远程执行任意代码**。无需本地访问，直接通过 Web 接口接管服务器权限，完全控制 MS SQL 管理环境。

🚪 **利用门槛**：**极低**。无需认证（Pre-auth），无需特殊配置。只要目标运行该漏洞版本，即可直接发起攻击。

📜 **现成 Exp**：**有**。参考链接显示已有针对 .NET Deserialization 的利用案例，PacketStorm 和 SSD Disclosure 均有相关披露。

🔎 **自查方法**：扫描目标是否运行 **MyLittleAdmin** 服务。检查是否存在 **v3.8** 版本特征。重点检测 ViewState 是否使用已知硬编码 Key 签名。

🛡️ **官方修复**：数据中未提供具体补丁链接。建议立即联系厂商升级至修复版本，或应用厂商提供的缓解措施。

⚠️ **临时规避**：若无法升级，建议**立即下线**该服务或将其置于**内网隔离**环境，禁止公网访问。限制访问 IP 白名单。

🔥 **优先级**：**极高 (Critical)**。无需认证即可 RCE，且利用简单。建议**立即处置**，防止服务器被完全接管。