搜索

[12455] 2018-03-11_通过补丁比对分析发现HPEIMC系统代码执行漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-03-11_通过补丁比对分析发现HPEIMC系统代码执行漏洞 通 过 补 丁 比 对 分 析 发 现 H P E   I M C 系 统 代 码 执 行 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 3 - 1 1 一 些 开 发 人 员 认 为 ， 只 要 程 序 身 份 验 证 代 码 是 安 全 的 ， 则 其 程 序 输 入 也 应 该 是 相 对 没 问 题 的 。 通 常 ， 这 种 想 法 一 些 开 发 人 员 认 为 ， 只 要 程 序 身 份 验 证 代 码 是 安 全 的 ， 则 其 程 序 输 入 也 应 该 是 相 对 没 问 题 的 。 通 常 ， 这 种 想 法 会 导 致 一 些 草 率 随 意 的 代 码 ， 一 旦 攻 击 者 在 这 些 代 码 中 发 现 漏 洞 ， 一 些 后 验 证 性 （ 会 导 致 一 些 草 率 随 意 的 代 码 ， 一 旦 攻 击 者 在 这 些 代 码 中 发 现 漏 洞 ， 一 些 后 验 证 性 （ P o s t - a u t h e n t i c a t i o n ） ） B u g 就 就 能 被 攻 击 者 利 用 ， 对 软 件 系 统 形 成 威 胁 。 今 天 ， 我 们 要 来 说 的 就 是 ， 通 过 身 份 验 证 绕 过 漏 洞 结 合 用 户 输 入 的 表 能 被 攻 击 者 利 用 ， 对 软 件 系 统 形 成 威 胁 。 今 天 ， 我 们 要 来 说 的 就 是 ， 通 过 身 份 验 证 绕 过 漏 洞 结 合 用 户 输 入 的 表 达 式 注 入 漏 洞 ， 形 成 对 达 式 注 入 漏 洞 ， 形 成 对 H P 智 能 管 理 服 务 器 （ 智 能 管 理 服 务 器 （   H P E   I M C ） 系 统 的 远 程 代 码 执 行 。 ） 系 统 的 远 程 代 码 执 行 。 在 Z D I 上 有 多 个 H P 智 能 管 理 服 务 器 （   H P E   I M C ） 的 后 验 证 型 漏 洞 ， 它 们 是 需 要 身 份 认 证 绕 过 方 式 才 能 利 用 的 ， 然 而 最 近 ， 名 为 S t e v e n   S e e l e y 的 Z D I 常 客 就 非 常 厉 害 地 提 交 了 一 个 身 份 认 证 绕 过 漏 洞 Z D I - 1 8 - 1 3 9 ， 该 漏 洞 的 出 现 使 得 之 前 一 大 波 H P E   I M C 的 后 验 证 型 漏 洞 立 马 变 得 极 具 利 用 价 值 。 该 身 份 认 证 绕 过 漏 洞 的 存 在 ， 根 本 上 是 由 于 2 0 1 7 年 3 月 被 发 现 的 另 一 个 H P E   I M C 漏 洞 Z D I - 1 7 - 1 6 1 （ C V E - 2 0 1 7 - 5 7 9 1 ） 的 未 完 全 修 复 而 导 致 的 。 由 于 目 前 S t e v e n   S e e l e y 发 现 的 这 个 Z D I - 1 8 - 1 3 9 身 份 认 证 绕 过 漏 洞 还 未 完 全 公 开 技 术 细 节 ， 本 文 中 ， 我 们 通 过 对 漏 洞 Z D I - 1 7 - 1 6 1 的 补 丁 分 析 ， 来 尝 试 自 行 发 现 Z D I - 1 8 - 1 3 9 漏 洞 ， 最 后 ， 我 们 会 利 用 该 绕 过 漏 洞 ， 结 合 一 个 独 特 的 表 达 式 注 入 漏 洞 Z D I - 1 7 - 6 6 3 ， 实 现 对 H P E   I M C 服 务 器 系 统 的 远 程 代 码 执 行 。 补 丁 比 对 发 现 补 丁 比 对 发 现 H P E   I M C 系 统 系 统 d o F i l t e r 方 法 远 程 绕 过 漏 洞 方 法 远 程 绕 过 漏 洞 Z D I - 1 7 - 1 6 1 在 下 面 的 w e b . x m l 文 件 中 ， H P E   I M C 系 统 使 用 了 U r l A c c e s s C o n t r o l l e r 类 作 为 访 问 控 制 过 滤 器 ， 来 限 制 未 授 权 用 户 对 受 保 护 U R L 的 访 问 。 该 访 问 控 制 过 滤 器 是 一 个 开 发 人 员 经 常 用 到 的 ， 用 来 实 现 访 问 控 制 功 能 的 J a v a 组 件 。 以 下 就 是 H P E   I M C 的 7 . 3 E 0 5 0 4 P 2 系 统 版 本 中 ， 未 完 全 修 复 漏 洞 Z D I - 1 7 - 1 6 1 的 补 丁 下 U r l A c c e s s C o n t r o l l e r : : d o F i l t e r ( ) 方 法 的 补 丁 反 编 译 分 析 片 段 ：
在 以 上 补 丁 中 可 发 现 ， 过 滤 器 逻 辑 之 前 ， 添 加 了 一 个 保 护 函 数 n o r m a l i z e S y n t a x ( ) 用 于 对 输 入 内 容 的 净 化 审 核 。 如 果 路 径 中 缺 少 “ . . ” 字 符 ， 则 此 函 数 将 退 出 不 执 行 任 何 操 作 。 因 此 ， 我 们 可 以 让 n o r m a l i z e S y n t a x ( ) 函 数 来 尝 试 执 行 一 些 包 含 “ . . ” 字 符 路 径 的 “ 规 范 化 ” 操 作 ， 如 果 路 径 是 / i m c / p r i m e p u s h / . . / 这 种 样 子 的 ， 攻 击 者 就 能 绕 过 过 滤 器 以 未 授 权 用 户 身 份 访 问 受 保 护 的 其 它 系 统 组 件 。 事 实 上 ， 这 也 就 是 Z D I - 1 7 - 1 6 1 漏 洞 的 威 胁 所 在 。 从 补 丁 信 息 中 发 现 隐 秘 宝 藏 从 补 丁 信 息 中 发 现 隐 秘 宝 藏 - Z D I - 1 8 - 1 3 9 漏 洞 漏 洞 如 果 你 仔 细 检 查 Z D I - 1 7 - 1 6 1 补 丁 中 新 添 加 的 函 数 n o r m a l i z e S y n t a x ( ) ， 不 难 发 现 ， 其 中 存 在 一 个 严 重 的 身 份 认 证 绕 过 漏 洞 。 在 此 ， 你 先 花 点 时 间 看 看 能 否 发 现 这 个 漏 洞 … … 。 这 个 漏 洞 就 存 在 于 函 数 n o r m a l i z e S y n t a x ( ) 的 前 几 行 代 码 中 ， 如 果 攻 击 者 把 U R L 路 径 中 的 字 符 ” . . ” 进 行 编 码 混 淆 ， 将 会 编 过 函 数 提 前 返 回 某 些 信 息 。 换 句 话 说 ， 攻 击 者 可 以 简 单 地 使 用 形 如 这 样 的 路 径 / i m c / p r i m e p u s h / % 2 e % 2 e / 去 绕 过 补 丁 ！ 使 用 U R L 编 码 混 淆 路 径 遍 历 字 符 之 后 ， 攻 击 者 只 能 绕 过 U R L 访 问 控 制 器 ， 但 也 能 查 看 到 某 些 受 保 护 的 身 份 验 证 页 面 ， 但 至 此 ， 攻 击 者 可 以 利 用 Z D I - 1 8 - 1 3 6 来 劫 持 管 理 员 会 话 信 息 ， 或 使 用 以 下 存 在 于 H P E   I M C 系 统 中 的 任 意 表 达 式 注 入 漏 洞 （ E L   i n j e c t i o n ） 来 实 现 远 程 代 码 执 行 ： Z D I - 1 7 - 6 9 0   ( C V E - 2 0 1 7 - 1 2 5 2 6 ) ,   Z D I - 1 7 - 6 8 9   ( C V E - 2 0 1 7 - 1 2 5 2 5 ) , Z D I - 1 7 - 6 8 8   ( C V E - 2 0 1 7 - 1 2 5 2 4 ) ,   Z D I - 1 7 - 6 8 7   ( C V E - 2 0 1 7 - 1 2 5 2 3 ) , Z D I - 1 7 - 6 8 6   ( C V E - 2 0 1 7 - 1 2 5 2 2 ) ,   Z D I - 1 7 - 6 8 5   ( C V E - 2 0 1 7 - 1 2 5 2 1 ) , Z D I - 1 7 - 6 8 4   ( C V E - 2 0 1 7 - 1 2 5 2 0 ) ,   Z D I - 1 7 - 6 8 3   ( C V E - 2 0 1 7 - 1 2 5 1 9 ) , Z D I - 1 7 - 6 8 2   ( C V E - 2 0 1 7 - 1 2 5 1 8 ) ,   Z D I - 1 7 - 6 8 1   ( C V E - 2 0 1 7 - 1 2 5 1 7 ) , Z D I - 1 7 - 6 8 0   ( C V E - 2 0 1 7 - 1 2 5 1 5 ) ,   Z D I - 1 7 - 6 7 9   ( C V E - 2 0 1 7 - 1 2 5 1 4 ) , Z D I - 1 7 - 6 7 8   ( C V E - 2 0 1 7 - 1 2 5 1 3 ) ,   Z D I - 1 7 - 6 7 7   ( C V E - 2 0 1 7 - 1 2 5 1 2 ) , Z D I - 1 7 - 6 7 6   ( C V E - 2 0 1 7 - 1 2 5 1 0 ) ,   Z D I - 1 7 - 6 7 5   ( C V E - 2 0 1 7 - 1 2 5 1 1 ) ,
Z D I - 1 7 - 6 7 4   ( C V E - 2 0 1 7 - 1 2 4 9 9 ) ,   Z D I - 1 7 - 6 7 3   ( C V E - 2 0 1 7 - 1 2 5 0 9 ) , … … 表 达 式 注 入 漏 洞 （ 表 达 式 注 入 漏 洞 （ E L   i n j e c t i o n ） 介 绍 ） 介 绍 表 达 式 语 言 （ E x p r e s s i o n   L a n g u a g e ,   E L ） 是 称 为 J a v a   S e r v e r   F a c e s   ( J S F ) 的 W e b 应 用 U I 框 架 的 一 部 份 ， 在 此 就 有 一 个 表 达 式 语 言 在 J S F 框 架 下 如 何 工 作 的 简 单 例 子 。 而 表 达 式 语 言 注 入 漏 洞 （ E L   i n j e c t i o n ） 是 一 个 相 对 新 的 漏 洞 类 ， 除 了 M i n d e d   S e c u r i t y 的 S t e f a n o   D i   P a o l a 和 A s p e c t   S e c u r i t y 的 A r s h a n   D a b i r s i a g h i 及 少 数 分 析 博 客 提 出 了 最 初 的 漏 洞 概 念 之 外 ， 没 有 更 多 网 上 现 成 的 参 考 资 料 。 第 一 个 表 达 式 语 言 注 入 漏 洞 可 追 溯 到 2 0 1 1 年 ， 也 就 是 C V E - 2 0 1 1 - 2 7 3 0 ， 它 涉 及 到 了 S p r i n g 框 架 中 的 一 个 双 向 评 价 漏 洞 并 可 导 致 某 些 信 息 泄 露 。 到 了 2 0 1 2 年 ， D a n   A m o d i o 在   J S P / E L   2 . 2   中 演 示 了 一 种 利 用 表 达 式 注 入 漏 洞 的 新 技 巧 以 实 现 远 程 代 码 执 行 ， 该 技 巧 不 需 要 漏 洞 代 码 对 攻 击 者 控 制 的 表 达 式 进 行 两 次 估 值 （ E v a l u a t e ） 。 剖 析 表 达 式 注 入 漏 洞 剖 析 表 达 式 注 入 漏 洞 Z D I - 1 7 - 6 6 3 Z D I - 1 7 - 6 6 3 是 一 个 后 验 证 性 表 达 式 注 入 漏 洞 ， 该 漏 洞 环 境 下 ， 攻 击 者 可 以 利 用 传 递 到 i c t E x p e r t D o w n l o a d . x h t m l 的 b e a n N a m e 参 数 来 实 现 任 意 表 达 式 语 言 执 行 。 我 们 先 来 看 看 该 漏 洞 的 入 口 点   —   也 就 是 路 径 C : P r o g r a m F i l e s i M C c l i e n t w e b a p p s i m c i c t e x p o r t i c t E x p e r t D o w n l o a d . x h t m l 中 的 i c t E x p e r t D o w n l o a d . x h t m l 文 件 ： 在 上 述 代 码 [ 1 ] 标 记 处 ， 导 入 了 一 个 名 为 ” h t t p : / / w w w . h u a w e i - 3 c o m . c o m / j s f / c o r e “   的 命 名 空 间 ， 其 中 包 含 了 一 些 通 用 标 签 ， 其 中 就 包 括 i m c f : b e a n M e t h o d 标 签 ， 当 该 页 面 发 起 请 求 时 ， 标 记 [ 2 ] 处 的 i m c f : b e a n M e t h o d 就 会 对 i c t T a b l e E x p o r t B e a n 中 的 i n i t P a g e 方 法 进 行 调 用 ， 该 操 作 行 为 也 在 位 于 C : P r o g r a m   F i l e s i M C c l i e n t w e b a p p s i m c W E B - I N F i m c - j s f - c o r e . t a g l i b . x m l 中 的 标 签 库 中 能 有 所 记 载 ：
我 们 可 以 对 上 述 代 码 中 的 i c t T a b l e E x p o r t B e a n . i n i t P a g e ( ) 方 法 作 用 进 行 认 真 查 看 ， 该 方 法 被 定 义 在 了 i m c w e b _ p l a t . j a r 中 的 c o m . h 3 c . i m c . i c t . e x p o r t . v i e w . I c t T a b l e E x p o r t B e a n 类 中 ： 以 上 代 码 的 标 记 [ 4 ] 处 ， 本 质 上 说 ， 并 不 是 表 达 式 进 行 估 值 的 地 方 ， 在 这 里 攻 击 者 控 制 的 数 据 可 被 传 递 到 F a c e s U t i l s 类 中 ， 实 际 上 来 讲 ， 也 完 成 了 一 次 表 达 式 估 值 。 以 下 是 F a c e s U t i l s 类 的 反 编 译 代 码 ： 至 此 ， 攻 击 者 控 制 的 数 据 可 被 解 析 为 一 个 V a l u e E x p r e s s i o n 并 被 完 成 最 终 估 值 ， 一 旦 目 标 W e b 服 务 器 运 行 的 是 系 统 权
限 ， 则 攻 击 者 构 造 的 恶 意 P a y l o a d 也 将 会 以 系 统 权 限 执 行 。 综 合 形 成 综 合 形 成 M e t a s p l o i t 利 用 模 块 利 用 模 块 综 上 所 述 ， 综 合 身 份 认 证 绕 过 漏 洞 Z D I - 1 8 - 1 3 9 和 表 达 式 注 入 漏 洞 Z D I - 1 7 - 6 6 3 ， 我 们 写 出 了 一 个 M e t a s p l o i t 利 用 模 块 h p _ i m c _ e l _ i n j e c t i o n _ r c e . r b ， 经 测 试 ， 该 利 用 模 块 结 合 c m d / w i n d o w s / p o w e r s h e l l _ r e v e r s e ， 可 在 H P E   i M C 7 . 3 E 0 5 0 4 P 2 系 统 下 成 功 利 用 ， 具 体 利 用 方 式 如 以 下 视 频 所 示 ： h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = E 8 T j F W y s I 7 8 h t t p : / / v . y o u k u . c o m / v _ s h o w / i d _ X M z Q x O D E 4 O T Q 5 M g = = . h t m l 总 结 总 结 本 文 中 提 到 的 H P E   I M C   信 息 泄 露 和 代 码 执 行 漏 洞 ， 侧 面 说 明 了 开 发 人 员 应 该 重 视 程 序 的 输 入 机 制 安 全 ， 即 使 这 些 输 入 机 制 是 存 在 于 安 全 的 身 份 验 证 框 架 下 ， 也 不 能 说 明 它 们 就 是 绝 对 安 全 的 。 这 里 也 说 明 ， 后 验 证 性 漏 洞 同 样 能 被 攻 击 者 和 渗 透 测 试 人 员 加 以 利 用 ， 形 成 危 害 。 而 表 达 式 注 入 漏 洞 由 于 在 黑 盒 测 试 前 提 下 ， 很 难 被 发 现 ， 但 非 常 有 必 要 通 过 源 代 码 审 查 来 发 现 并 排 除 这 种 漏 洞 。 希 望 这 类 漏 洞 在 造 成 一 些 重 要 影 响 后 ， 能 像 字 符 串 漏 洞 一 样 可 被 快 速 消 除 ， 及 时 防 范 。 * 参 考 来 源 ： z e r o d a y i n i t i a t i v e ， F r e e B u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理