搜索

[28981] 2021-06-02_一键远程代码执行-CVE-2021-33501

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-06-02_一键远程代码执行-CVE-2021-33501 一 键 远 程 代 码 执 行   -   C V E - 2 0 2 1 - 3 3 5 0 1 O t s 安 全   2 0 2 1 - 0 6 - 0 2 ▼ 更 多 精 彩 推 荐 ， 请 关 注 我 们 ▼ 咨 询 信 息 咨 询 信 息 标 题 ： O v e r w o l f   1 - C l i c k   R e m o t e   C o d e   E x e c u t i o n 发 布 日 期 ： 2 0 2 1 - 0 5 - 3 1 供 应 商 ： O v e r w o l f   L t d 发 布 模 式 ： 协 调 发 布 信 用 ： 此 漏 洞 由   J o e l   N o g u e r a   发 现 和 研 究 。 P D F   版 本 ： G i t H u b 漏 洞 信 息 漏 洞 信 息 类 别 ： C W E - 9 4   -   代 码 生 成 控 制 不 当 （ ' 代 码 注 入 ' ） 严 重 性 ： 严 重   -   9 . 6   ( C V S S : 3 . 1 / A V : N / A C : L / P R : N / U I : R / S : C / C :   H   /   I ： H   /   A ： H ） 远 程 可 利 用 ： 是 本 地 可 利 用 ： 是 受 影 响 的 版 本 ： O v e r w o l f   C l i e n t   0 . 1 6 9 . 0 . 2 2 （ 先 前 版 本 也 可 能 受 到 影 响 ） C V E   I D ： C V E - 2 0 2 1 - 3 3 5 0 1 图 1   –   h t t p s : / / w w w . o v e r w o l f . c o m / 漏 洞 描 述 S w o r d B y t e s   研 究 人 员 通 过 滥 用 “ o v e r w o l f s t o r e : / / ”   U R L   处 理 程 序 中 存 在 的 反 射 跨 站 点 脚 本   ( X S S )   问 题 ， 在   O v e r w o l f   的 客 户 端 应 用 程 序 中 发 现 了 一 个 未 经 身 份 验 证 的 远 程 代 码 执 行   ( R C E )   漏 洞   。 该 漏 洞 允 许 未 经 身 份 验 证 的 远 程 攻 击 者 执 行 任 意 通 过 将 X S S 问 题 与 C h r o m i u m 嵌 入 式 框 架 （ C E F ） 沙 箱 转 义 相 结 合 ， 可 以 使 攻 击 者 有 可 能 在 受 害 者 的 计 算 机 上 实 现 远 程 执 行 代 码 。 S w o r d B y t e s   使 用 以 下 概 念 证 明 来 实 现 远 程 代 码 执 行 ： 概 念 证 明 ： o v e r w o l f s t o r e : / / a p p / a p p s / < i m g + s r c = x + o n e r r o r = % 2 2 o v e r w o l f . i o . w r i t e F i l e C o n t e n t s ( ' C : w i n d o w s t e m p d . b a t ' , ' s t a r t % 2 0 c m d % 2 0 % 2 5 2 f k % 2 0 w h o a m i ' , ' ' , f a l s e , c o n s o l e . l o g ) % 2 5 2 6 o v e r w o l f . u t i l s . o p e n U r l I n D e f a u l t B r o w s e r ( ' C : w i n d o w s t e m p d . b a t ' )
技 术 说 明 W i n d o w s 应 用 程 序 可 以 向 操 作 系 统 注 册 自 定 义 U R L 方 案 ， 从 而 使 它 们 可 以 在 被 调 用 时 运 行 特 定 的 已 安 装 应 用 程 序 。 一 个 常 见 的 示 例 是 通 过 使 用 自 定 义 方 案 （ 例 如 ， “   o v e r w o l f s t o r e ： / /   a p p   / ： u i d   /   r e v i e w s   / ： c o m m e n t I d ” ） 导 航 到 U R L ， 从 而 直 接 从 浏 览 器 中 使 用 此 方 案 。 在 这 种 情 况 下 ， 攻 击 者 可 以 通 过 将 有 效 用 户 重 定 向 到 滥 用 来 自   O v e r w o l f   的 自 定 义   U R L   处 理 程 序 的 恶 意 链 接 （ “ o v e r w o l f s t o r e : / / ” ） 来 实 现 这 一 点 。 客 户 端 应 用 程 序 容 易 受 到 跨 站 点 脚 本 注 入 攻 击 ， 通 过 滥 用 后 端 。 该 “ o v e r w o l f s t o r e ： / / ” 自 定 义 方 案 是 由 一 个 注 册 的 内 置 扩 展 名 为 ‘ O v e r w o l f 的 A p p s t o r e ’ （ U I D   o j g n f n b j c k b p f a c i p h p h e h o n o k b g g j h p n n o a f a c k 。 ） ， 这 是 O v e r w o l f 此 U R L 处 理 器 核 心 部 件 的 一 部 分 ， 从 W e b 浏 览 器 打 开 时 ， 调 用 “   O v e r w o l f A p p s t o r e . e x e ” 进 程 ， 此 行 为 在 W i n d o w s 注 册 表 中 定 义 ， 如 下 所 示 ： 图 1   – 带 有 自 定 义 方 案 “   o v e r w o l f s t o r e ” 的 注 册 表 项 请 注 意 ， “ ％ 1 ” 将 替 换 为 U R L 上 提 供 的 值 。 启 动 O v e r w o l f   C l i e n t 后 ， C E F 应 用 程 序 将 继 续 分 析 和 分 析 提 供 的 U R L 以 确 定 应 呈 现 哪 个 U I 。 可 以 触 发 多 个 操 作 ,   负 责 解 析   U R L   并 决 定 采 取 哪 些 动 作 的 代 码 位 于 扩 展 的   J a v a S c r i p t   源 代 码 中 . 特 别 是 以 下 文 件   (   o v e r w o l f - e x t e n s i o n : / / o j g n f n b j c k b p f a c i p h p h e h o n o k b g g j h p n n o a a c k / s c r i p t s / c o n t r o l l e r s / w i n d o w . j s   ) 管 理 大 部 分 解 析 的 代 码 ： 在   S c h e m e   参 数 解 码 期 间 ， 会 从   U R L   中 检 索 多 个 值 。 这 些 U R L 的 结 构 通 常 如 下 ：         _ t h i s . d e c o d e U r l S c h e m e P a r a m s   =   f u n c t i o n   ( i n f o )   {                 c o n s t   d e c o d e d U r l   =   d e c o d e U R I C o m p o n e n t ( i n f o . p a r a m e t e r ) ;                 c o n s t   u r l   =   n e w   U R L ( d e c o d e d U r l ) ;                 c o n s t   u r l P a r t s   =   u r l . p a t h n a m e . s p l i t ( ' / ' ) ;                 c o n s t   p a r a m s   =   { o r i g i n :   i n f o . o r i g i n } ;                 i f   ( u r l P a r t s [ 2 ]   ! = =   ' a p p ' )   {                 r e t u r n   n u l l ;                 }                 i f   ( u r l P a r t s [ 3 ] )   {                 p a r a m s . s e c t i o n   =   u r l P a r t s [ 3 ] ;                 }                 i f   ( u r l P a r t s [ 4 ] )   {                 p a r a m s . c a t e g o r y   =   u r l P a r t s [ 4 ] ;                 }                 i f   ( u r l P a r t s [ 5 ] )   {                 p a r a m s . e x t r a   =   {                         i d :   u r l P a r t s [ 5 ]                 } ;                 }                 r e t u r n   p a r a m s ;         }
定 制 方 案 ： U R L 中 的 不 同 元 素 使 应 用 程 序 可 以 了 解 幕 后 正 在 调 用 的 功 能 。 但 是 ， 对 应 用 程 序 接 受 的 值 没 有 限 制 ； 这 使 攻 击 者 可 以 制 作 不 同 的 有 效 负 载 ， 这 些 有 效 负 载 可 能 在 应 用 程 序 上 产 生 意 外 的 结 果 。 以 下 各 节 描 述 了 两 个 漏 洞 ， 这 些 漏 洞 操 纵 O v e r w o l f 处 理 这 些 自 定 义 U R L 的 方 式 来 实 现 1 - C l i c k 远 程 代 码 执 行 。 反 射 式 跨 站 脚 本 当 前 面 描 述 的   U R L 的 “ S E C T I O N ” 部 分 等 于   “ a p p s ” 时 ，   O v e r w o l f   客 户 端 使 用 “ C A T E G O R Y ” 中 提 供 的 值 向 后 端 生 成 请 求 ， 以 尝 试 获 取 有 关 正 在 调 用 的 扩 展 的 信 息 。 例 如 ， 通 过 访 问 U R L   “   o v e r w o l f s t o r e ： / /   a p p   /   a p p s   / U N E X P E C T E D _ V A L U E   /   4 / 5 / 6 ” ， 将 生 成 以 下 请 求 ： 图 2   – 请 求 发 送 到 后 端 A P I 请 注 意 ， 值 “ U N E X P E C T E D _ V A L U E ” 作 为 错 误 消 息 的 一 部 分 反 映 在 响 应 正 文 中 ， 并 且 “ C o n t e n t - T y p e ” 设 置 为   “ t e x t / h t m l ” 。 当 此 响 应 反 映 在 O v e r w o l f 商 店 U I （ 本 质 上 是 C h r o m i u m 嵌 入 式 浏 览 器 （ C E F ） ） 的 上 下 文 中 时 ， 受 控 内 容 将 逐 字 注 入 D O M 中 ， 如 下 所 示 ： 图   3   –   嵌 入 到 浏 览 器   D O M   中 的 错 误 消 息 通 过 将 C A T E G O R Y 值 的 缺 乏 卫 生 性 与 O v e r w o l f   S t o r e   U I 的 D O M 中 反 映 的 后 端 错 误 消 息 相 结 合 ， 可 以 在 具 有 以 下 负 载 的 O v e r w o l f 客 户 端 应 用 程 序 中 触 发 R e f l e c t e d   C r o s s - S i t e 脚 本 漏 洞 ： 概 念 证 明 ： 图   4   –   O v e r w o l f   客 户 端 应 用 程 序 中 触 发 的 反 射 跨 站 点 脚 本 如 果 识 别 出 C E F 沙 箱 转 义 ， 通 常 可 以 将 C E F 应 用 程 序 中 的 跨 站 点 脚 本 升 级 为 远 程 代 码 执 行 。 o v e r w o l f s t o r e : / / a p p / < S E C T I O N > / < C A T E G O R Y > / < E X T R A S > o v e r w o l f s t o r e : / / a p p / a p p s / < i m g   s r c = x   o n e r r o r = a l e r t ( d o c u m e n t . l o c a t i o n ) > / 4
逃 离 C E F 沙 箱 在 这 种 特 殊 情 况 下 ， S w o r d B y t e s   研 究 人 员 能 够 通 过 使 用 “   o v e r w o l f - e x t e n s i o n s : / /   ” 方 案 在   U R L   上 下 文 中 使 用   O v e r w o l f   J a v a S c r i p t   A P I   来 逃 脱 沙 箱 。 主   C E F   进 程 “ O v e r w o l f B r o w s e r . e x e ” 在 启 用 内 部   O v e r w o l f   标 志 （ - - o w - e n a b l e - f e a t u r e s 和   - - o w - a l l o w - i n t e r n a l ） 的 情 况 下 运 行 ， 从 而 可 以 调 用 诸 如 “   o v e r w o l f . u t i l s . o p e n U r l I n D e f a u l t B r o w s e r   之 类 的 函 数 ”   2 。 顾 名 思 义 ， 此 方 法 旨 在 在 默 认 浏 览 器 （ 例 如   C h r o m e 、 F i r e f o x   或 其 他 浏 览 器 ） 中 打 开   U R L ； 但 是 ， 如 果 提 供 了 诸 如 “   c a l c . e x e   ” 之 类 的 值 ， 则 将   调 用 “   C r e a t e P r o c e s s ” 将 被 制 作 ， 并 执 行 二 进 制   “   c a l c . e x e   ” ， 允 许 攻 击 者 运 行 任 意 命 令 ： 图   5   –   O v e r w o l f   客 户 端 应 用 程 序 执 行   C : W i n d o w s S y s t e m 3 2 c a l c . e x e 所 述 “ o p e n U r l I n D e f a u l t B r o w s e r ” 方 法 不 允 许 对 正 在 执 行 的 命 令 提 供 额 外 的 参 数 ， 因 此 ， 附 加 的 矢 量 需 要 接 管 正 在 执 行 的 命 令 的 完 全 控 制 。 在 分 析 了 文 档 3   中 提 供 的 不 同   A P I   方 法 后 ， S w o r d B y t e s   研 究 人 员 发 现 了 该 方 法 “ o v e r w o l f . i o . w r i t e F i l e C o n t e n t s ”   4 。 此 方 法 允 许 用 户 在 W i n d o w s 文 件 系 统 上 创 建 具 有 任 意 内 容 的 新 文 件 。 通 过 滥 用 此 功 能 ， 可 以 创 建 一 个 新 的 “   . b a t ” （ 批 处 理 ） 文 件 ， 以 后 可 以 通 过 使 用 前 面 提 到 的 “   o p e n U r l I n D e f a u l t B r o w s e r ” 方 法 来 执 行 该 文 件   。 请 注 意 权 限 “ 文 件 系 统 ” 需 要 执 行   “   w r i t e F i l e C o n t e n t s ” 。 但 是 ， 在 此 扩 展 的 清 单 中 ， 分 配 了 此 特 权 。 概 念 验 证 S w o r d B y t e s   研 究 人 员 结 合 本 文 档 中 描 述 的 问 题 构 建 了 最 终 的 漏 洞 利 用 程 序 ， 可 以 总 结 如 下 ： 1 .   受 害 者 打 开 调 用   O v e r w o l f   S t o r e   应 用 程 序 的   U R L   并 触 发   X S S   负 载 。 2 .   利 用 “   w r i t e F i l e C o n t e n t s ” 方 法 将 新 的 批 处 理 文 件 写 入   “   C ：   w i n d o w s     t e m p   ” 文 件 夹 中 的   磁 盘 中 ， 该 文 件 包 含 攻 击 者 选 择 的 命 令 ， 在 本 例 中 为 “   s t a r t   c m d   /   k   w h o a m i ” 。 3 .   该 “ o p e n U r l I n D e f a u l t B r o w s e r ” 方 法 用 于 执 行 在 上 一 步 中 创 建 . b a t 文 件 ， 实 现 远 程 执 行 代 码 。 概 念 证 明 ： 请 注 意 ， 某 些 值 会 进 行 两 次   U R L   编 码 ， 以 绕 过   C E F   浏 览 器 以 及 后 端 服 务 器 的 限 制 。 “ / ” 和 “ & ” 等 值 将 改 变 自 定 义 方 案 的 解 析 方 式 ， 以 及 后 端 返 回 的 错 误 消 息 。 因 此 ， “ / ” 和 “ & ” 的 编 码 如 下 ： “ % 2 5 2 f ” 和 “ % 2 5 2 6 ” 。 报 告 时 间 表 2 0 2 1 - 0 5 - 0 4 ： S w o r d B y t e s   开 始 研 究   O v e r w o l f   客 户 端 应 用 程 序 的 漏 洞 。 2 0 2 1   年   5   月   6   日 ： S w o r d B y t e s   确 定 了 攻 击 向 量 并 为   R C E   开 发 了   P o C 。 2 0 2 1   年   5   月   1 0   日 ： S w o r d B y t e s   通 过   s u p p o r t @ o v e r w o l f . c o m   和   s e c @ o v e r w o l f . c o m   向   O v e r w o l f   发 送 了 初 始 通 知 ， 要 求 提 供   G P G   密 钥 。 2 0 2 1 - 0 5 - 1 0 ： O v e r w o l f 支 持 系 统 创 建 了 I D 为 9 0 9 5 1 的 票 证 。 2 0 2 1 - 0 5 - 1 0 ： O v e r w o l f 确 认 收 到 了 电 子 邮 件 ， 并 提 供 了 G P G 密 钥 以 进 行 进 一 步 的 通 信 。 2 0 2 1 - 0 5 - 1 0 ： S w o r d B y t e s 发 送 了 一 份 报 告 草 案 ， 其 中 包 括 技 术 说 明 和 P o C 。 2 0 2 1 - 0 5 - 1 7 ： S w o r d B y t e s   联 系   O v e r w o l f   要 求 更 新 2 0 2 1 - 0 5 - 1 7 ： O v e r w o l f 通 知 S w o r d B y t e s 他 们 没 有 收 到 前 一 封 电 子 邮 件 。 2 0 2 1 - 0 5 - 1 7 ： S w o r d B y t e s   再 次 发 送 咨 询 草 案 ， O v e r w o l f   确 认 收 到 。 2 0 2 1 - 0 5 - 1 8 ： 确 认 了 此 漏 洞 。 2 0 2 1 - 0 5 - 1 9 ： S w o r d B y t e s 向 O v e r w o l f 发 送 了 其 他 信 息 ， 以 帮 助 他 们 确 定 漏 洞 的 根 本 原 因 。 2 0 2 1   年   5   月   2 0   日 ： O v e r w o l f   确 认 他 们 正 在 针 对 该 问 题 进 行 修 补 程 序 。 2 0 2 1 - 0 5 - 2 1 ： S w o r d B y t e s 请 求 此 问 题 的 C V E - I D 。 2 0 2 1 - 0 5 - 2 1 ： M i t r e 分 配 了 C V E - 2 0 2 1 - 3 3 5 0 1 。 2 0 2 1 - 0 5 - 2 4 ： O v e r w o l f 通 知 S w o r d B y t e s ， 计 划 很 快 发 布 此 修 补 程 序 。 2 0 2 1 - 0 5 - 2 7 ： O v e r w o l f 发 布 了 此 修 复 程 序 。 2 0 2 1   年   5   月   3 1   日 ： S w o r d B y t e s   发 布 了 该 公 告 。 关 于 S w o r d B y t e s o v e r w o l f s t o r e : / / a p p / a p p s / < i m g + s r c = x + o n e r r o r = % 2 2 o v e r w o l f . i o . w r i t e F i l e C o n t e n t s ( ' C : w i n d o w s t e m p d . b a t ' , ' s t a r t % 2 0 c m d % 2 0 % 2 5 2 f k % 2 0 w h o a m i ' , ' ' , f a l s e , c o n s o l e . l o g ) % 2 5 2 6 o v e r w o l f . u t i l s . o p e n U r l I n D e f a u l t B r o w s e r ( ' C : w i n d o w s t e m p d . b a t ' )
S w o r d B y t e s   专 注 于 研 究 和 发 现 游 戏 技 术 的 漏 洞 。 我 们 的 服 务 有 助 于 增 强 和 保 护 基 础 架 构 和 应 用 程 序 ， 为 游 戏 公 司 创 造 更 安 全 的 环 境 。 欲 了 解 更 多 信 息 ， 请 访 问 s w o r d b y t e s . c o m 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理