.NET框架设计缺陷，企业系统成远程攻击通道遭利用

.NET框架内陈旧的代理设计方式可能被利用为新型远程系统攻击路径，网络安全行业已就此发出警告。根据安全企业watchTowr的最新研究，发现可利用SOAP客户端代理在系统中任意写入恶意文件或实现远程代码执行的漏洞。由于该缺陷一直以微软文档推荐的方式被广泛使用，业界担忧其影响可能蔓延至整个企业界。

该漏洞根植于.NET框架核心网络请求处理类HttpWebClientProtocol的内部运作机制。该类虽设计为仅处理HTTP请求，但其内部调用WebRequest.Create时未正确执行协议验证。这使得攻击者能够利用file://或SMB路径等非HTTP协议处理程序，将SOAP请求正文直接写入文件系统。

根据watchTowr研究团队在欧洲"黑帽大会2025"上发布的内容，滥用此技术可实现NTLM认证绕过、覆盖脚本及配置文件，最终通过ASPX与CSHTML型网页木马完全控制服务器。特别值得注意的是，攻击者可通过篡改的WSDL（网络服务描述语言）文件任意控制服务URL、方法名及输入类型，这使得该威胁的严重程度被评估为极高。

实际测试中，该技术已成功应用于多家大型企业软件产品。Barracuda的RMM解决方案、Ivanti管理平台、Umbraco CMS等均成为主要攻击目标。在Barracuda案例中，仅需一个未经认证的SOAP请求即可加载恶意WSDL，最终导致网站目录生成网页木马，致使整个系统暴露于风险之中。

然而问题解决进程比预期更为迟缓。watchTowr自2024年起就与微软方面共享漏洞细节并进行协商，但微软将此问题归类为"应用程序层面的责任而非框架缺陷"，未采取明确措施。微软仅向开发者发出"勿将不可信输入用于URL或WSDL处理"的警告。但研究团队反驳称："HTTP客户端代理能被用于文件系统访问的行为本身显然违反直觉，不应简单归咎于用户或开发者责任。"

专家指出该缺陷可能不仅限于特定应用程序，很可能广泛存在于企业内部开发软件及其他众多基于.NET的系统中。因此建议系统防御者全面排查是否存在以下情况：SoapHttpClientProtocol的URL直接连接用户输入，或存在通过ServiceDescriptionImporter类动态生成代理的结构。

此次研究结果既揭示了微软生态系统内广泛存在的设计缺陷，也再次证明长期累积的遗留代码可能构成重大安全风险。