安全研究团队发现有黑客组合利用 AhsayCBS 平台两个高危漏洞，不用账号密码就能远程拿下备份服务器，而且黑客用了很隐蔽的隐写手段，把加密后的恶意代码藏进 PNG 图片像素数据里，再通过专用 JSP 脚本加载，代码直接在内存运行，不会落地成普通恶意文件，传统杀毒、流量检测很难识别，成功入侵之后还会投放多组 Webshell、XMRig 挖矿程序、Python 定制后门和隧道工具，备份服务器里面存放大量企业核心备份数据，一旦被控制，不仅数据会被窃取、加密，还会直接破坏企业最后的数据恢复能力，这套攻击方式最大的特点就是通信伪装成正常图片请求，规避安全设备检测。
一、本次攻击用到的两个核心漏洞
| 漏洞编号 | 漏洞类型 | 风险说明 |
|---|---|---|
| CVE-2026-105133 | 身份认证绕过 | 攻击者可以跳过登录校验，伪造合法访问身份 |
| CVE-2026-105134 | 无认证远程命令执行 | 拿到系统最高 SYSTEM 权限，能在服务器执行任意命令，CVSS 满分 10 分 |
- 攻击链条：先绕过认证，再触发远程代码执行，上传恶意 JSP 网页木马，也就是 AhsayCBS.jsp 加载器。
- 受影响版本：AhsayCBS 10.3.4.44 及更早、9.15.2.69 及更早版本。
二、PNG 图片隐藏恶意代码的实现逻辑
- 隐写方式：提取 PNG 图片 RGB 像素最低位，拼接出加密载荷；
- 加密方式：内置硬编码 AES 密钥解密，ECB 模式加密；
- 执行方式：解密后的 Java 类直接在内存加载运行，不写磁盘；
- 通信伪装：攻击者下发指令、服务器回传结果，全部封装在 PNG 图片里，流量看起来就是普通图片访问；
- 伪装页面：这个加载器对外伪装成图片预览服务，日志里看不出异常恶意特征。
三、入侵后部署的恶意组件清单
- AhsayCBS.jsp：PNG 隐写载荷加载器，本次攻击的核心隐蔽工具
- nsmind.jsp：带签名校验的管理接口，支持执行命令、4GB 大文件上传下载
- 密钥型命令 Shell：需要匹配内置密钥才能执行 cmd 命令
- 带文件写入能力密钥 Shell：可写入 Base64 解码文件，用来持续投放工具
- 自删除状态 Shell：status_、st_开头，支持删文件、执行命令，用完可以自毁
- Python 主机绑定后门：读取服务器硬件标识，沙箱环境不会运行，躲避安全分析
- 附加工具：XMRig 挖矿程序、Chisel、GOST 隧道工具、远控软件 AnyDesk 等
四、企业应急处置步骤
- 优先升级 AhsayCBS：10 系列升级到 10.3.4.45，7~9 系列升级到 9.15.2.70 官方修复版本；
- 网络层面：不要把 AhsayCBS 的 Web 管理端口直接公网暴露，增加 IP 白名单、VPN 访问；
- 服务器排查：检查 webapps\rps 目录，查找 AhsayCBS.jsp、nsmind.jsp 等可疑 JSP 文件；
- 日志审计：查看 Web 访问日志，寻找 POST 上传 PNG 图片、异常图片预览接口访问记录；
- 查杀清理：检查挖矿进程、陌生隧道程序、未知定时任务，排查后门；
- 备份核验：对备份数据做完整性校验，防止黑客篡改备份文件。
五、容易踩坑的认知误区
- 不是 PNG 图片本身带病毒，图片只是载体，真正执行代码的是配套 JSP 加载器；
- 载荷在内存运行，磁盘上找不到 exe、jar 恶意文件，静态扫描很难发现；
- 就算删掉一个 Webshell，黑客部署了多套后门，只清理单个文件依旧会失陷；
- 备份服务器被入侵的危害远大于普通业务服务器，会直接废掉企业数据恢复方案。
【相关 FAQ】
问题 1：攻击者利用 AhsayCBS 漏洞，是怎么在 PNG 图片里面隐藏恶意代码的？
回答 1：攻击者利用 AhsayCBS 漏洞入侵服务器后，依靠 AhsayCBS.jsp 加载器读取 PNG 图片 RGB 像素最低位，拼接出 AES 加密的恶意载荷，解密后直接在内存运行，以此在 PNG 图片里面隐藏恶意代码，规避安全检测。
问题 2：AhsayCBS 漏洞搭配 PNG 隐写后门，会给企业带来哪些危害？
回答 2：攻击者利用 AhsayCBS 漏洞搭配 PNG 隐写后门，拿下备份服务器最高权限，可窃取、篡改甚至销毁企业备份数据，投放挖矿程序、持久后门，破坏企业数据恢复能力，并且隐蔽通信不容易被安全设备发现。
问题 3：企业怎么防护攻击者利用 AhsayCBS 漏洞、PNG 图片隐写后门这类攻击？
回答 3：企业防护攻击者利用 AhsayCBS 漏洞、PNG 图片隐写后门，第一时间升级官方补丁，关闭公网直接访问，配置 IP 白名单，定期排查 webapps\rps 目录可疑 JSP 文件，审计图片预览接口访问日志，核验备份数据完整性。
问题 4：AhsayCBS 漏洞的 PNG 隐写后门，普通杀毒软件能查杀出来吗？
回答 4：AhsayCBS 漏洞配套的 PNG 隐写后门，恶意代码只在内存执行，不会落地恶意文件，流量伪装成正常 PNG 图片，传统杀毒软件和基础流量检测很难识别，需要针对性审计 Web 日志和 JSP 脚本。
【参考资料】
[2026-11-12]（Hackers Exploit AhsayCBS Vulnerabilities to Hide Malware in PNG Images and Deploy Stealthy Backdoors）Cyber Security News
[2026-11-11]（Attackers Exploit AhsayCBS Bugs, Hide Webshells in PNGs & Install Backdoors）The Daily Tech Feed
[2026-11-11]（AhsayCBS 漏洞利用：PNG 隐写载荷、Python 后门与挖矿程序）Cyber Security Times
[2026-11-10]（Attackers Exploit AhsayCBS Flaws to Deploy Sandbox-Evading Python Backdoor）The Hacker News
[2026-10-27]（NVD CVE-2026-105134 漏洞详情）NVD
[2026-10-16]（AhsayCBS 漏洞利用链 CVE-2026-105133、CVE-2026-105134 技术通告）Bitdefender
【免责声明】
本文内容基于海外安全厂商公开威胁情报整理，仅作网络安全科普，不构成企业安全方案；攻击样本、利用方式存在变种，企业实际防护、应急处置请结合自身环境，以官方安全补丁、专业安全厂商研判结果为准。
本文来自作者[景枢探品]投稿，不代表环球品牌网立场，如若转载，请注明出处：https://www.865171.cn/qyzx/202611/573.html
评论列表（4条）
我是环球品牌网的签约作者“景枢探品”！
希望本篇文章《攻击者利用 AhsayCBS 漏洞，借 PNG 图片隐写恶意代码部署隐蔽后门》能对你有所帮助！
本站[环球品牌网]内容主要涵盖：品牌服务领域
本文概览：安全研究团队发现有黑客组合利用 AhsayCBS 平台两个高危漏洞，不用账号密码就能远程拿下备份服务器，而且黑客用了很隐蔽的隐写手段，把加密后的恶意代码藏进 PNG 图片像素数据里，再通过专用 JSP 脚本加载，代码直接在内存运行，不会落地成普通恶意文件，传统杀毒、流量检测很难识别，成功入侵之后还会投放多组 Webshell、XMRig 挖矿程序、Python 定制后门和隧道工具，备份服务器里面存放大量企业核心备份数据，一旦被控制，不仅数据会被窃取、加密，还会直接破坏企业最后的数据恢复能力，这套攻击方式最大的特点就是通信伪装成正常图片请求，规避安全设备检测。