一、概述2022年8月28日，华为乾坤云服务监测到某财务软件存在远程命令执行漏洞，攻击者利用该漏洞无需身份认证即可远程上传任意文件，获取服务器控制权限！华为乾坤云服务目前已支持勒索软件查杀和该漏洞攻击行为拦截，为避免资产损失，建议您尽快安装补丁。二、漏洞信息标题内容漏洞编号CNVD-2022-60632华为乾坤评级高危漏洞名称某财务软件任意文件上传漏洞类型任意文件上传漏洞利用条件和危害未经身份认证的远程攻击者，可以通过特定接口上传恶意文件，导致任意代码执行。远程利用是攻击复杂度低PoC/EXP未知在野利用已发现在野利用影响范围某财务软件单机版<=17.0且使用IIS10.0以下版本三、事件回溯近日，华为乾坤云服务检测到出现大量勒索病毒攻击事件，用户计算机文件被.locked后缀的勒索病毒加密。从病毒留下的勒索提示信息内容分析，该病毒与之前流行的TellYouThePass勒索病毒为关联家族，病毒会向受害者索要0.2比特币赎金（约27439元人民币）。四、华为乾坤全面防护华为乾坤安全研究人员持续关注相关信息，复现漏洞PoC，并对病毒样本展开逆向分析！研究表明，华为乾坤云服务可支持对相关勒索软件的查杀和针对该漏洞攻击行为的拦截，共有如下解决方案1、针对该漏洞已增加威胁事件签名库，天关设备联网即可自动升级，无需人工操作所有恶意流量均已拦截；2、华为乾坤终端防护与响应服务可实现对病毒落地后恶意样本的检测和自动隔离，阻止恶意文件的落地和执行；华为乾坤发现恶意文件华为乾坤云端回溯处置结果3、华为乾坤终端防护与响应服务—威胁情报分析能力，支持对相关恶意样本进行检测：恶意样本详细信息4、对于后续该勒索病毒变种，华为乾坤终端防护与响应服务通过轻量级诱捕、网端云协同的四层防御架构在勒索加密前阻断威胁，保证数据零损失。五、漏洞修复建议目前，官方已紧急发布漏洞补丁，华为乾坤建议受影响的单位和用户立即升级至最新版本：https://www.chanjetvip.com/product/goods同时，请受漏洞影响的单位和用户立即按照以下步骤开展自查和修复工作： 1、用户自查步骤： 查询本地是否存在website/bin/load.aspx.cdcab7d2.compiled、website/bin/App_Web_load.aspx.cdcab7d2.dll、tplus/Load.aspx文件，如存在说明已经中毒，须重装系统，并安装产品补丁。 2、未中毒用户请： 1）更新最新产品补丁；2）安装杀毒软件，并及时升级病毒库；3）升级IIS和Nginx低版本至IIS10.0和Windows 2016；4）本地安装客户需尽快确认备份文件是否完整，以及做了异地备份。云上客户请及时开启镜像功能；5）未能及时更新补丁的用户，可联系官方技术支持，采取删除文件等临时防范措施。 3、已中毒用户请： 1）检查服务器是否有做定期快照或备份，如有可通过快照或备份恢复数据。 2）联系官方技术支持，确认是否具备从备份文件恢复数据的条件及操作方法。

更多行业案例，请关注本系列合集~

更多行业案例，请关注本系列合集~

更多行业案例，请关注本系列合集~

更多行业案例，请关注本系列合集~

一      检查云管理侧1、检查ESN检查设备的ESN和型号，和真实的交换机设备的ESN和型号一致：2、检查注册查询中心同步如果交换机是通过注册查询中心上线，需要检查设备的ESN是否同步到注册查询中心，如果不是通过注册查询中心上线，请不用检查。通过搜索框检查对应的ESN，看下是否有未勾选同步的错误详情，如果有的话，就需要勾选对应的设备，然后点击再同步按钮。注意：设备的ESN需要加入站点，才能同步到注册查询中心。3、检查设备上下线日志进入监控-设备上下线日志页面：过滤对应ESN的日志，然后查看失败/离线原因列，如果没有搜索到对应的记录，说明设备的注册请求尚未到达云管理控制器：二   检查交换机侧如果控制器上面未看到上下线日志，则需要看下设备侧。可以通过管理口，stelnet或者串口等方式，登陆到设备进行排查。1、检查交换机的网络首先，需要看下交换机侧的网络是否通。如下，这种是DNS有问题，或者未配置。这种情况下，可以通过命令行指定通过IP地址注册上线。R13的交换机设备命令如下：cloud-mng controller ip-address 139.9.137.139 port 10020或cloud-mng controller url device.qiankun-saas.huawei.com port 10020R19的交换机设备命令如下：system-view，进入系统视图。netconf，使能NETCONF功能并进入NETCONF视图。执行命令management-vlan（NETCONF视图），配置交换机和DHCP服务器通信使用的VLAN。management-vlan 1（注意：1是对应的vlan值，具体请根据实际情况配置。如果用的是vlan 10就配置management-vlan 10）controller ip-address 139.9.137.139 port 10020 或者 controller url  device.qiankun-saas.huawei.com port 100202、查看当前设备的工作模式R13的交换机执行命令display work-mode，查看当前设备的工作模式。3、查看当前设备配置的云管理平台信息R13的交换机：执行命令display cloud-mng configuration，查看当前设备配置的云管理平台信息。R19的交换机：display netconf configuration命令用来查看设备配置的iMaster NCE-Campus信息。4、查看设备与云管理平台间连接建立的相关信息R13的交换机：执行命令display cloud-mng connect-attribute，查看设备与云管理平台间连接建立的相关信息。R19的交换机：display netconf connect-status命令用来查看交换机上的NETCONF配置。R13的交换机：执行命令display cloud-mng register-status，查看设备向云管理平台注册的状态。5、查看设备向云管理平台注册失败的记录R13的交换机：执行命令display cloud-mng register-fail-record，查看设备向云管理平台注册失败的记录R19的交换机：在任意视图下执行命令display netconf register-fail-record查看设备向iMaster NCE-Campus注册失败的记录。display netconf offline-record命令用来查看交换机下线原因。常见注册失败具体有如下原因：Manage VLAN is physical down：管理VLAN接口处于物理Down状态。Change to tradition work mode failed：切换到传统工作模式失败。Failed to apply IP address：获取IP地址失败。No DNS information in DHCP options：DHCP Option字段没有配置DNS信息。No controller IP or URL information：没有云管理平台的IP地址或URL信息。Failed to get IP address of controller：获取云管理平台的IP地址失败。Failed to create TCP link to controller：与云管理平台建立TCP链路失败。Failed to get register result from controller：未收到云管理平台发来的注册结果。Controller certificate authentication failed：云管理平台进行证书认证失败。Controller ESN check failed：云管理平台ESN校验失败。Device is not authorized：设备未授权。Device type and ESN does not match：设备类型和ESN规则不匹配。Others：其他原因。6、查看设备的ESN7、查看设备的型号和版本

更多行业案例，请关注本系列合集~

更多行业案例，请关注本系列合集~

更多行业案例，请关注本系列合集~

1       场景和方案图1  AC监控上云方案示意图传统无线网络往往会存在部署成本高、后期运维困难等问题，尤其是对于分支站点数量多、站点地域分散的企业，这些问题尤为明显。而将整网FitAP设备切换成云管理模式的方案，有一定的限制，且工作量较大，由此，独立AC监控上云的方案应运而生。通过云化管理，可以通过Internet随时随地管理无线网络，集中查看运行数据，大大降低网络部署和运维成本。本文以独立AC已经部署完成，即低版本存量AC切换成独立AC监控上云的场景为例进行介绍。独立AC监控上云方案，在不改变原来组网的情况下，Wlan  AC切换到云模式，通过netconf注册到云管理控制器，并上报设备、ap的状态信息、性能数据等到云管理平台，原有的无线业务相关的配置功能，仍然保留，即无线业务相关的配置仍然在Wlan AC上面配置；FitAP保持原有的模式，通过原有的capwap方式到AC上线，并上报性能数据到云管理平台；CloudCampus云管理平台管理云AC ，并显示AC及FitAP的设备状态，及性能数据等，产生报表，实现Wlan AC监控上云。1、AC或者wac和云管理处于托管状态，即在云管理中离线，那么本地业务保留90天后踢ap下线2、注意由于当前版本的WAC，切换成云模式后，无法增加和修改AP-id，因此，如果有扩容计划的，建议在上云前就提前把ap-id和esn导入WAC。3、WAC版本如果是R19C00及之前的版本，切换成云模式后，fitAP会离线后再上线。2       前期准备2.1       检查传统方案AC中AP在线情况、设备版本情况并收集ESN登录Wlan AC管理界面，查看AC设备版本信息及收集AC的ESN： 查看FitAP设备版本信息并导出AP的ESN： 此外，可以通过命令行查询AC和FitAP的ESN： 看下，现网的设备款型、版本等是否支持监控上云。2.2       检查Wlan AC的网络情况检查Wlan AC和FitAP是否可以通乾坤云，如果不通的话，需要提前打通网络。ping 139.9.137.139注意：请不要采用管理口当做业务口，进行上网使用。采用管理口的话，即使网络能通，但是还是无法上线的。 2.3       导出备份原有配置文件及设备版本文件导出原有配置文件：备份原有设备的版本文件：导出备份原有射频配置文件：2.4  检查WAC的时间和时区查看WAC的时间、时区是否和对应的控制器一致，比如中国区的话，采用的是北京时区，且时间是对的，如果不对的话，需要修改3       WAC监控上云操作步骤3.1       在乾坤云管理上面创建站点注意：所有站点类型全部都要选择AC类型，不能是AP，站点配置模式选择配置文件。如果选择AP，则代表这个FitAP要工作在云模式下，而不是监控上云。再次强调，所有站点类型全部都要选择AC类型，不能是AP。3.2       在云管理上面添加AP的ESN注意1：一个站点只能导入1000台设备，为了便于分析不同地方的网络情况，请按照楼栋或者地理位置信息分成不同的站点，进行导入。注意2：由于WAC上面对设备名称有限制，所以在设备名称命名上要注意：新配置的AP名称不能和已有的AP名称相同。选择批量导入，并下载模板。填写设备ESN及站点信息等（站点名称和之前创建的要一致）到模板，如下图，建议设备名称和安装位置相关，便于后期维护：注意：所有站点类型全部都要选择WAC类型，不能是AP。注意：导入的ESN的数量要和随板WAC上面的要一致（或者云平台上的ESN要多于WAC侧），否则上线后，会出现告警。3.3       将独立WAC切换到云模式并注册到云管理平台登录Wlan AC管理界面，并选择切换到云模式：点击确定按钮：点击确定按钮：方法2：ap-mode命令用来配置AP的运行模式。undo ap-mode命令用来恢复AP运行模式为缺省值。缺省情况下，AP的运行模式为FIT模式。执行命令ap-mode  cloud，配置AP的运行模式。打开命令行界面：配置云管理控制器的南向地址：乾坤云的北向地址：https://qiankun-saas.huawei.com乾坤云的南向地址（设备注册地址）：139.9.137.139     device.qiankun-saas.huawei.com，如下图仅供参考，请改成对应的乾坤云的南向地址（设备注册地址）：139.9.137.139查看AC的上线情况：常用的诊断命令如下：display cloud-mng online-fail-record命令用来查看云AP最近5次上线失败记录信息。注意：配置完成后，为了安全起见，建议将telnet等相关权限关闭。登录平台，可以看到，设备均已经上线成功：3.4     配置性能数据上报（云管理）1、登录Wlan AC的管理界面，配置AC的WMI性能数据上报（上报周期都是300s）：乾坤云的南向地址（设备注册地址）：139.9.137.139     端口是10032   或者10031    网络放通加上 124.71.230.158（CI南向）    27371注意：如果设备的证书是新证书，则用10032端口，如果是老证书，则采用10031端口。如下为新证书（具体判断依据如下图红色框的是企业的正式证书；之前的老证书是交换机发布的）：配置完成后，记得保存配置。并将配置文件保存到电脑进行备份。3.5     配置性能数据上报（CI）CI的南向： 124.71.230.158（CI南向）   端口： 27371登录Wlan AC的管理界面，配置各个FitAP组的WMI性能数据上报（上报周期是60s）：CI的南向： 124.71.230.158（CI南向）   端口： 27371

通过命令行手动配置交换机上线1、执行命令system-view，进入系统视图。2、执行命令netconf，使能NETCONF功能并进入NETCONF视图。3、执行命令management-vlan（NETCONF视图），配置交换机和DHCP服务器通信使用的VLAN。management- vlan 1    （注意：1是对应的vlan值，具体请根据实际情况配置。如果用的是vlan 10就配置management-vlan 10）   4、执行命令controller ip-address ip-address port port-number，配置iMaster NCE-Campus的IP地址；或者执行命令controller url url-string port port-number，配置iMaster NCE-Campus的URL信息。URL和IP只能二选一，即设备要么配置的是iMaster NCE-Campus的URL，要么配置的是iMaster NCE-Campus的IP。对于乾坤云：controller ip-address 139.9.137.139 port 10020或者controller url device.qiankun-saas.huawei.com port 100205、在任意视图下执行命令display netconf connect-status查看交换机上的NETCONF配置。6、在任意视图下执行命令display netconf configuration命令用来查看设备配置的iMaster NCE-Campus信息。7、display netconf offline-record命令用来查看交换机下线原因。8、display netconf register-fail-record命令用来查看设备向iMaster NCE-Campus注册失败的记录。注意：请不要使用eth-trunk0作为上行口。注意：上云后会下发默认的配置到交换机设备，如snmp、串口ssh，http的密码，去使能telnet功能，会下发时钟同步，会在接口下默认使能trustdscp，会生成一个默认的meth0/0/1口用于和控制器通信交互接口等；其中设备密码在如下位置进行配置：上云后，为了安全，将关闭telnet功能，无法使用telnet登陆设备了，需要采用ssh登陆：=========================================================静态IP地址方式的，需要采用如下 call  home方式：配置交换机的NETCONF功能。[SwitchA] netconf[SwitchA-netconf] source ip 192.168.10.1[SwitchA-netconf] callhome controller[SwitchA-netconf-callhome-controller] ip address 139.9.137.139 port 10020   //该端口号必须与iMaster NCE-Campus使用的端口号一致[SwitchA-netconf-callhome-controller] return注意：当交换机的上行口设置为Eth-Trunk时，设备侧预配置上行口为Eth-Trunk，需要先在iMaster NCE-Campus侧配置上行口为Eth-Trunk口，配置与设备侧相同，再配置管理VLAN。-------------常用命令---------1、reset netconf db-configuration命令用来清除设备上的数据库信息。# 清除设备上的数据库信息。system-view[HUAWEI] reset netconf db-configurationWarning: This operation will clear the database configuration and saved configuration file and restart the device. Continue? [Y/N]:2、display netconf configuration命令用来查看设备配置的iMaster NCE-Campus信息。# 查看当前设备配置的iMaster NCE-Campus信息。 display netconf configuration--------------- Configuration begin--------------- controller ip-address 10.1.1.1 port 10020 controller ip-address 192.168.2.2 port 10020 (redirected) --------------- Configuration end-----------------3、display netconf connect-status命令用来查看交换机上的NETCONF配置。4、display netconf offline-record命令用来查看交换机下线原因。5、display netconf register-fail-record命令用来查看设备向iMaster NCE-Campus注册失败的记录。# 查看设备向iMaster NCE-Campus注册失败的记录。 display netconf register-fail-record------------------------------------------------------------------------------   Time                        Error Info ------------------------------------------------------------------------------   2019/11/09 22:21:02         Failed to apply IP address 2019/11/09 23:12:13         Failed to create TCP link to controller (192.168.1.1)6、display work-mode命令用来查看当前设备的工作模式。# 查看当前设备的工作模式。 display work-modeCurrent work-mode       : NETCONF Work-mode before upgrade: Cloud-mng7、compare configuration命令用来比较当前的配置文件（包含离线配置）与下次启动的配置文件内容是否一致。使用实例# 比较当前的配置文件（包含离线配置）与下次启动的配置文件内容是否一致。 compare configurationInfo: The system is now comparing the configuration, please wait.... Warning: The current configuration is not the same as the next startup  configuration file. There may be several differences, and the following are some  configurations beginning from the first:  ====== Current configuration line 6 ======  vlan batch 1 to 2 10 to 11 15 70 to 71 91 to 92 100 111 230 240 901  vlan batch 911 1111 #  l2protocol-tunnel vtp group-mac 0100-0ccd-ffff  ====== Configuration file line 6 ======  vlan batch 1 to 2 10 to 11 15 70 91 to 92 100 111 230 240 901  vlan batch 911 1111 #  l2protocol-tunnel vtp group-mac 0100-0ccd-ffff8、display changed-configuration time命令用来查看最后一次配置变更的时间。# 显示最后一次配置变更的时间。 display changed-configuration time9、display configuration recover-result命令用来查看配置恢复结果。# 显示配置恢复结果。 display configuration recover-resultThe current startup saved-configuration file is flash:/vrpcfg.zip. The number of failed commands is 2.  ---------------------------------------------------------------------- Command : ip address 10.85.1.1 255.255.255.0 View    : Vlanif85 Line    : 414 Reason  : Failed to parse the command. Time    : 10:00:06  2012-07-25 UTC+08:00 DST Command : ip address 10.86.1.1 255.255.255.0 View    : Vlanif86 Line    : 417 Reason  : Failed to parse the command. Time    : 10:00:06  2012-07-25 UTC+08:00 DST

1       场景和方案        本文介绍存量场景，框式交换机和随板AC监控上云场景，即在不改变原来组网的情况下，框式交换机切换到云模式，通过netconf注册到云管理控制器，并上报设备、ap的状态信息、性能数据等到云管理平台，原有的无线业务相关的配置功能，仍然保留，即无线业务相关的配置仍然在随板AC上面配置；注意本方案是监控上云，即云管理不对交换机设备下发配置，设备配置从本地配置；FitAP保持原有的模式，通过原有的capwap方式到随板AC上线，并上报性能数据到云管理平台；CloudCampus云管理平台管理随板AC，显示随板AC及FitAP的设备状态，及性能数据等，产生报表，实现随板AC监控上云。注意：1、   在云管理园区解决方案中，License用于控制允许管理的AP数量，以及是否允许使用无线业务。用户需要通过服务提供商购买License，并导入云管理平台。当AC上线后，云管理平台会将License资源下发到AC。如果License资源不足，将导致对应型号的AP无法上线，或者无法使用射频功能。在云模式下，本地License不再生效。如果AC从云管理平台脱管，AC上的AP表项和License资源仍然可用，仍然可以对AP执行统一配置和管理。2、   只有支持WMI功能的FIT AP才能上报性能数据（不影响设备上线），所以，为了有效利用原有设备，在迁移之前需要确保现有FIT  AP均支持WMI功能。3、   WAC上线以后，除License以外的所有数据都不变。   4、注意由于当前版本的随板WAC，切换成云模式后，无法增加和修改AP-id，因此，如果有扩容计划的，建议在上云前就提前把ap-id和esn导入随板WAC。参考如下，具体以设备产品文档为准：现网采集信息常用命令：display ap version alldisplay ap statisticsdisplay ap alldisplay devicedisplay current-configuration alldisplay saved-configurationdisplay versiondisplay esnping 139.9.137.139 ping device.qiankun-saas.huawei.comdisplay clockdisplay pki certificate ca realm default display pki certificate local realm defaultdisplay licensedisplay ip interface briefdisplay diagnostic-informationdisplay stackdisplay css status类型具体条件材料链接设备型号交换机的型号需要支持netconf模式，同时该型号云管理支持纳管。cid:link_0设备版本交换机的版本至少是V200R019C10SPC500及之后的版本AP:V200R019C00SPC906网络交换机可以访问Internet，如果不通的话，需要提前打通网络。云管理侧操作cid:link_32       前期准备2.1       检查传统方案随板WAC中AP在线情况、设备版本情况并收集ESN收集框式交换机随板AC的ESN： 注意：如果是堆叠的话，备机也要收集ESN相关的信息。 如果FitAp已经在随板AC上面上线，可以到随板AC上面查询FitAp的ESn信息： 看下，现网的设备款型、版本等是否支持监控上云。2.2       检查随板Wlan AC的网络情况检查随板Wlan AC和FitAP是否可以通外网，如果不通的话，需要提前打通网络。WAC和FitAP都需要放通如下IP地址：云管理南向ip：139.9.137.139 CI南向：124.71.230.158打通网络后，在随板WAC上面长ping 外网IP，如139.9.137.139，来确保出口网络稳定。如果出现丢包或者不稳定，请排查网络，确保网络稳定后，再上云。注意：请不要采用管理口当做业务口，进行上网使用。采用管理口的话，即使网络能通，但是还是无法上线的。 2.3       导出备份原有配置文件及设备版本文件导出原有配置文件：备份原有设备的版本文件：导出备份原有射频配置文件：2.3  检查随板WAC的时间和时区查看随板WAC的时间、时区是否和对应的控制器一致，比如中国区的话，采用的是北京时区，且时间是对的，如果不对的话，需要修改 2.4      升级随板AC及FitAP设备版本（可选）登录随板Wlan AC管理界面，上传FitAP设备版本并进行升级：升级AC的设备版本：3       随板AC监控上云操作步骤3.1       在乾坤云管理上面创建站点注意：所有站点类型全部都要选择AC类型，不能是AP，站点配置模式选择配置文件。如果选择AP，则代表这个FitAP要工作在云模式下，而不是监控上云。再次强调，所有站点类型全部都要选择AC类型，不能是AP。3.2       在云管理上面添加AP的ESN注意1：一个站点只能导入1000台设备，为了便于分析不同地方的网络情况，请按照楼栋或者地理位置信息分成不同的站点，进行导入。注意2：由于WAC上面对设备名称有限制，所以在设备名称命名上要注意：新配置的AP名称不能和已有的AP名称相同。选择批量导入，并下载模板。填写设备ESN及站点信息等（站点名称和之前创建的要一致）到模板，如下图，建议设备名称和安装位置相关，便于后期维护：注意：所有站点类型全部都要选择WAC类型+LSW，不能是AP。注意：导入的ESN的数量要和随板WAC上面的要一致（或者云平台上的ESN要多于WAC侧），否则上线后，会出现告警。3.3       将随板AC切换到云模式并注册到云管理平台乾坤云的北向地址：https://qiankun-saas.huawei.com乾坤云的南向地址（设备注册地址）：139.9.137.139     device.qiankun-saas.huawei.com注意：切换成云模式前，备份配置文件，如save    beforecloudmode.cfg；如果是R19C10SPC500以前的版本注意（R19C10SPC500及之后的版本不用关注）：1、切换成云模式后，FITAP会重新上线，请等FITAP全部上线完成后，观察WAC的CPU利用率，等CPU利用率较低且稳定后，再次备份配置文件后(如save    cloudmodebeforeonline.cfg)，然后再配置控制器的南向地址。2、关注一下的操作时间点，设备CPU要低，最好避开设备调优的时间。下面举例是开始时间+半个小时的区间[ACU2-wlan-view]dis cur | in cali                                                                                      calibrate enable schedule time 04:00:00登录云管理平台，可以看到，设备均已经上线成功。3.4     配置性能数据上报（云管理）1、登录Wlan AC的管理界面，配置AC的WMI性能数据上报（上报周期是300s）：乾坤云的南向地址（设备注册地址）：139.9.137.139     端口是10032   或者10031                                             登录Wlan AC的管理界面，配置各个FitAP组的WMI性能数据上报（上报周期是300s）：乾坤云的南向地址（设备注册地址）：139.9.137.139注意：如果设备的证书是新证书，则用10032端口，如果是老证书，则采用10031端口。如下为新证书（具体判断依据如下图红色框的是企业的正式证书；之前的老证书是交换机发布的）：配置完成后，记得保存配置。并将配置文件保存到电脑进行备份。