攻击者链式利用 AhsayCBS 漏洞，借助 PNG 图片隐写恶意载荷部署隐蔽后门

安全厂商 Huntress 监测到攻击团伙正在利用 AhsayCBS 备份平台的两个零日漏洞组合发起入侵，攻击者成功入侵服务器之后，投放名为 AhsayCBS.jsp 的特殊 JSP 一句话木马，这个 webshell 伪装成图片预览接口，把 AES 加密后的恶意代码藏进 PNG 图片像素最低有效位里，内存直接解密运行，不会在磁盘留下明显恶意程序文件，流量看起来就是普通图片传输，同时还配套多组不同类型 Webshell、挖矿程序、绑定主机的 Python 后门、隧道工具，专门针对企业备份服务器，一旦失陷会直接威胁全量备份数据安全，下面把漏洞信息、隐写技术原理、攻击链路、排查修复步骤、风险点整理清楚。

一、本次攻击涉及漏洞基础信息

二、PNG 图片隐藏恶意代码的技术原理

1. 采用 LSB 最低有效位隐写，修改 PNG 图片 RGB 每个像素最后一位比特，肉眼看不出图片变化。
2. AhsayCBS.jsp 接收上传 PNG 文件，逐像素提取比特，拼接成二进制数据，先读取 4 字节长度，再读取对应长度加密载荷。
3. 使用内置硬编码 AES 密钥解密载荷，通过自定义类加载器在内存加载 Java 类执行，不落地写入硬盘。
4. 指令执行结果同样加密，再打包到新 PNG 图片回传，通信流量和正常图片访问几乎一致，传统流量检测很难识别。

三、完整攻击执行链路

1. 攻击者利用 CVE-2026-105133 绕过 AhsayCBS 身份校验，再串联 CVE-2026-105134 执行系统命令，拿下备份服务器权限。
2. 上传 5 套不同功能 JSP Webshell，其中 AhsayCBS.jsp 作为图片隐写加载器，其余负责命令执行、文件上传下载、密钥校验执行。
3. 投放 XMRig 挖矿程序、主机绑定型 Python 后门、内网隧道工具，建立多条持久化访问通道。
4. 后续攻击持续上传带恶意载荷的 PNG 图片，按需加载不同后门代码，长期维持隐蔽控制。

四、服务器自查、处置操作步骤

1. 版本核查：查看 AhsayCBS 版本号，低于 v9.15.2.70、v10.3.4.45 立刻停止公网暴露，安装官方热补丁。
2. 文件排查：检查 webapps\rps 目录，查找 AhsayCBS.jsp、nsmind.jsp、随机命名 status 类 JSP 文件。
3. 进程排查：检查服务器是否存在 XMRig 挖矿进程、陌生 Python 进程、异常 Java 子进程。
4. 日志审计：查看 rps 模块访问日志，寻找大量 POST 上传 PNG、图片接口异常访问记录。
5. 清理加固：删除全部可疑 Webshell、定时任务、后门程序；重置 AhsayCBS 后台账号密码；限制该系统公网直接访问，增加前置 WAF。
6. 备份校验：备份服务器被入侵后，不能直接信任原有备份，需要对备份数据做恶意文件扫描。

五、需要重点关注的风险说明

1. 仅仅打补丁只能堵住入侵入口，已经植入的后门、挖矿程序不会自动清除，很多企业打完补丁之后依旧被控制。
2. 载荷全程内存运行，磁盘无恶意文件，传统杀毒扫描很难捕获内存中的恶意代码。
3. 被攻陷的是备份服务器，攻击者可以篡改、加密、删除企业全部业务备份，勒索风险很高。
4. Python 后门做了主机硬件绑定，只能在被攻陷的这台服务器运行，沙箱分析很难触发恶意行为，绕过沙箱检测。

六、事件结论

这一轮 AhsayCBS 攻击的最大特点就是用 PNG 图片 LSB 隐写 + 内存加载后门，属于非常隐蔽的内存无文件攻击手段，区别于普通直接上传 exe、jar 木马的攻击方式；企业防护重点分两步，第一是尽快升级补丁、收紧访问边界，第二是对已经暴露过在公网的 AhsayCBS 服务器做全面入侵排查，不能只靠打补丁就认为安全。

【常见问题】

问题 1：攻击者利用 AhsayCBS 漏洞，在 PNG 图片中隐藏恶意代码，用的是什么隐写方式？

回答 1：攻击者利用 AhsayCBS 漏洞，在 PNG 图片中隐藏恶意代码，使用 LSB 最低有效位隐写，修改图片 RGB 像素末尾比特存储 AES 加密载荷，由 AhsayCBS.jsp 加载器提取解密并在内存运行。

问题 2：攻击者利用 AhsayCBS 漏洞入侵，涉及哪两个 CVE 漏洞？

回答 2：攻击者利用 AhsayCBS 漏洞入侵，链式组合 CVE-2026-105133 身份认证绕过漏洞、CVE-2026-105134 无授权远程命令注入漏洞，实现未授权拿下服务器最高权限。

问题 3：AhsayCBS 服务器打完漏洞补丁，是不是就清除 PNG 图片携带的隐蔽后门了？

回答 3：AhsayCBS 服务器打完漏洞补丁只能封堵攻击者新的入侵入口，无法清除已经部署完成、藏在 PNG 图片链路里的隐蔽后门、Webshell 和挖矿程序，必须人工排查清理。

【参考资料】

[2026-11-11]（攻击者利用 AhsayCBS 漏洞，在 PNG 图片中隐藏恶意代码并部署隐蔽后门）Cyber Security News

[2026-11-10]（Attackers Exploit AhsayCBS Flaws to Deploy Sandbox-Evading Python Backdoor）The Hacker News

[2026-11-09]（Inside an AhsayCBS Intrusion: Hidden Webshells, a CryptoMiner, and a C2 Implant）Huntress 官方博客

[2026-10-14]（AhsayCBS 发布热补丁修复 CVE-2026-105133、CVE-2026-105134）Ahsay 厂商公告

【免责声明】

本内容为第三方安全厂商公开威胁情报整理，攻击手法、检测特征会被攻击者持续修改绕过；AhsayCBS 的补丁版本、排查方案以 Ahsay 官方公告为准；本内容仅用于安全运维参考，不保证可完全检出同类变种攻击，不构成安全产品采购、应急处置唯一方案。