搜索

[28279] 2020-05-01_Ghidra从XXE到RCE

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-05-01_Ghidra从XXE到RCE G h i d r a   从   X X E   到   R C E 腾 讯 玄 武 实 验 室   O t s 安 全   2 0 2 0 - 0 5 - 0 1 作 者 ： 腾 讯 安 全 玄 武 实 验 室   t o m a t o ,   s a l t 0 x 0 0   背 景 背 景 G h i d r a 是   N S A   发 布 的 一 款 反 汇 编 工 具 , 它 的 发 布 引 起 了 安 全 研 究 人 员 的 极 大 兴 趣 。 有 研 究 人 员 发 现 G h i d r a 在 加 载 工 程 时 会 存 在 X X E ， 基 于 笔 者 之 前 对 X X E 漏 洞 利 用 研 究 发 现 ， 攻 击 者 可 以 利 用 J a v a 中 的 特 性 以 及 W i n d o w s 操 作 系 统 中 N T L M 认 证 协 议 的 缺 陷 的 组 合 来 完 成 R C E 。 0 x 0 1   技 术 细 节 技 术 细 节 J a v a 在 使 用 内 置 类     发 送 H T T P 请 求 遇 到 状 态 码 为 4 0 1 的 H T T P 返 回 头 时 ， 会 判 断 该 页 面 要 求 使 用 哪 种 认 证 方 式 ， 若 采 用 的 N T L M 认 证 则 会 自 动 使 用 当 前 用 户 凭 据 进 行 认 证 。 其 根 本 原 因 在 于 W i n d o w s 下 的 J a v a 默 认 启 用 了 透 明 N T L M 认 证 ， 并 且 将 所 有 由 外 部 传 入 的 U R L 地 址 都 认 为 是 可 信 的 。 如 下 面 代 码 段 所 示 s u n . n e t . w w w . p r o t o c o l . h t t p . H t t p U R L C o n n e c t i o n s u n . n e t . w w w . p r o t o c o l . h t t p . A u t h S c h e m e # N T L M i f   ( t r y T r a n s p a r e n t N T L M S e r v e r )   {         t r y T r a n s p a r e n t N T L M S e r v e r   =                         N T L M A u t h e n t i c a t i o n P r o x y . s u p p o r t s T r a n s p a r e n t A u t h ;         / *   I f   t h e   p l a t f o r m   s u p p o r t s   t r a n s p a r e n t   a u t h e n t i c a t i o n           *   t h e n   c h e c k   i f   w e   a r e   i n   a   s e c u r e   e n v i r o n m e n t           *   w h e t h e r ,   o r   n o t ,   w e   s h o u l d   t r y   t r a n s p a r e n t   a u t h e n t i c a t i o n . * /         i f   ( t r y T r a n s p a r e n t N T L M S e r v e r )   {                 t r y T r a n s p a r e n t N T L M S e r v e r   =                                 N T L M A u t h e n t i c a t i o n P r o x y . i s T r u s t e d S i t e ( u r l ) ;         } }
再 跟 入 方 法 通 过 反 射 调 用 了 中 的 方 法 ， 在 此 方 法 中 将 所 有 外 部 传 入 的 U R L 都 判 定 为 可 信 的 。 攻 击 者 通 过 搭 建 基 于 N T L M 认 证 的 H T T P   S e r v e r 即 可 获 取 到 当 前 用 户 的 N e t - N T L M   H a s h 。 我 们 再 来 看 N T L M 认 证 协 议 的 缺 陷 。 N T L M 认 证 协 议 中 存 在 一 种 很 古 老 的 攻 击 的 技 术 ， 被 称 作 为 N T L M   R e l a y 攻 击 。 此 攻 击 的 原 理 网 上 已 经 有 很 多 文 章 进 行 说 明 ， 在 此 不 再 赘 述 。 但 在 此 次 漏 洞 利 用 方 式 中 我 们 使 用 的 凭 据 反 射 攻 击 ， 即 为 攻 击 者 将 受 害 者 的 N e t - N T L M   H a s h 再 次 R e l a y 给 受 害 者 ， 达 到 以 彼 之 道 还 施 彼 身 的 效 果 。 下 面 来 看 看 这 个 过 程 的 具 体 实 现 ， 攻 击 者 首 先 搭 建 基 于 N T L M 认 证 的 恶 意 H T T P   S e r v e r ， 然 后 通 过 X X E / S S R F 等 漏 洞 使 受 害 者 向 恶 意 的 H T T P   S e r v e r 进 行 N T L M 认 证 。 值 得 注 意 的 是 ， N T L M 认 证 分 为 两 个 版 本 N T L M v 1 和 N T L M v 2 ， 在 进 行 N T L M v 1 类 型 认 证 时 攻 击 将 获 取 到 的 N e t - N T L M   H a s h 直 接 R e l a y 给 受 害 者 的 S M B 服 务 即 可 ， 但 是 在 使 用 N T L M v 2 类 型 认 证 时 ， 攻 击 者 在 R e l a y 时 需 要 将 N T L M 认 证 中 T y p e   2   M e s s a g e 的 N e g o t i a t e   F l a g s 进 行 修 改 ， 将 N e g o t i a t e   A l w a y s   S i g n 与 N e g o t i a t e   0 x 0 0 0 0 4 0 0 0   两 个 标 志 位 从 设 置 改 为 不 设 置 ， 这 其 中 具 体 代 表 的 含 义 为 让 此 次 认 证 被 认 作 在 网 络 上 ( R e l a y 给 本 机 会 被 当 做 是 一 次 本 地 认 证 ) 进 行 以 及 将 认 证 中 的 签 名 进 行 去 除 。 为 完 成 该 攻 击 过 程 ， 笔 者 已 经 编 写 好 脚 本 。 N T L M A u t h e n t i c a t i o n P r o x y . i s T r u s t e d S i t e p u b l i c   s t a t i c   b o o l e a n   i s T r u s t e d S i t e ( U R L   u r l )   {         t r y   {                 r e t u r n   ( B o o l e a n ) i s T r u s t e d S i t e . i n v o k e ( n u l l ,   u r l ) ;         }   c a t c h   ( R e f l e c t i v e O p e r a t i o n E x c e p t i o n   r o e )   {                 f i n e s t ( r o e ) ;         }         r e t u r n   f a l s e ; } s u n . n e t . w w w . p r o t o c o l . h t t p . n t l m . N T L M A u t h e n t i c a t i o n i s T r u s t e d S i t e
0 x 0 3   复 现 步 骤 复 现 步 骤 受 害 者 环 境   O r a c l e   J D K   8 u 1 6 1 、 W i n 1 0 、 A d m i n i s t r a t o r 账 户 攻 击 者 环 境   U b u n t u 1 6 . 0 4   I P 为 1 9 2 . 1 6 8 . 1 3 0 . 1 3 6 首 先 在 局 域 网 内 另 一 台 机 器 上 运 行 前 面 提 到 的 脚 本 脚 本 将 会 在 8 0 端 口 开 启 H T T P 服 务 。 然 后 回 到 W i n 1 0 中 新 建 一 个 G h i d r a 工 程 ， 修 改 工 程 中 的 p r o j e c t . p r p ， 插 入 X X E 攻 击 代 码 ， 如 下 图 所 示 再 次 使 用 G h i d r a 打 开 此 恶 意 工 程 ， 攻 击 者 就 能 获 取 到 受 害 者 机 器 的 N T L M   H a s h ， 也 可 通 过 脚 本 中 的 参 数 在 受 害 者 机 器 上 执 行 任 意 命 令 。 0 x 0 4   防 御 措 施 防 御 措 施 1 . 开 启 W i n d o w s 防 火 墙 ， 禁 止 外 部 请 求 访 问 S M B 服 务 p y t h o n   u l t r a r e l a y . p y   - i p   1 9 2 . 1 6 8 . 1 3 0 . 1 3 6   - s m b 2 s u p p o r t
2 . 若 要 提 供 S M B 服 务   则 建 议 开 启 S M B   S i g n 3 . 升 级 J D K 至 最 新 版 本 0 x 0 5   参 考 资 料 参 考 资 料 h t t p s : / / t w i t t e r . c o m / s g h c t o m a / s t a t u s / 1 1 0 3 3 9 2 0 9 1 0 0 9 4 1 3 1 2 0 h t t p s : / / c o n f e r e n c e . h i t b . o r g / h i t b s e c c o n f 2 0 1 8 d x b / m a t e r i a l s / D 2 T 2 % 2 0 - % 2 0 N T L M % 2 0 R e l a y % 2 0 I s % 2 0 D e a d % 2 0 L o n g % 2 0 L i v e % 2 0 N T L M % 2 0 R e l a y % 2 0 - % 2 0 J i a n i n g % 2 0 W a n g % 2 0 a n d % 2 0 J u n y u % 2 0 Z h o u . p d f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理