搜索

[11397] 2017-05-29_Oracle人力资源管理系统PeopleSoft未授权远程代码执行漏洞解析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-29_Oracle人力资源管理系统PeopleSoft未授权远程代码执行漏洞解析 O r a c l e 人 力 资 源 管 理 系 统 P e o p l e S o f t 未 授 权 远 程 代 码 执 行 漏 洞 解 析 c l o u d s   F r e e B u f   2 0 1 7 - 0 5 - 2 9 几 个 月 前 ， 我 有 幸 参 与 几 个 几 个 月 前 ， 我 有 幸 参 与 几 个 O r a c l e   P e o p l e S o f t 建 设 项 目 的 安 全 审 计 ， 审 计 对 象 主 要 为 建 设 项 目 的 安 全 审 计 ， 审 计 对 象 主 要 为 P e o p l e S o f t 系 列 的 人 力 资 源 管 理 系 统 系 列 的 人 力 资 源 管 理 系 统 （ （ H R M S ） 和 开 发 工 具 包 （ ） 和 开 发 工 具 包 （ P e o p l e T o o l ） 。 纵 观 网 上 关 于 ） 。 纵 观 网 上 关 于 P e o p l e S o f t 的 安 全 资 料 ， 除 了 几 个 无 法 证 实 的 的 安 全 资 料 ， 除 了 几 个 无 法 证 实 的 C V E 漏 洞 参 考 之 外 ， 漏 洞 参 考 之 外 ， 就 只 有 就 只 有 E R P S c a n 在 两 年 前 在 两 年 前 H I T B 会 议 的 一 个 信 息 量 极 大 的 演 讲 。 根 据 会 议 的 一 个 信 息 量 极 大 的 演 讲 。 根 据 E R P S c a n 的 演 讲 的 演 讲 P D F 我 发 现 ， 尽 管 网 上 鲜 有 我 发 现 ， 尽 管 网 上 鲜 有 P e o p l e S o f t 的 的 安 全 信 息 ， 但 它 其 实 漏 洞 重 重 。 安 全 信 息 ， 但 它 其 实 漏 洞 重 重 。 仅 从 我 随 手 的 安 全 测 试 来 看 ， P e o p l e S o f t 应 用 程 序 包 含 很 多 不 经 验 证 授 权 的 服 务 端 点 ， 可 能 出 于 高 交 互 性 ， 这 些 服 务 端 中 大 部 分 都 使 用 了 默 认 密 码 。 这 种 脆 弱 的 安 全 环 境 明 摆 着 给 攻 击 者 敞 开 了 门 窗 。 在 这 篇 文 章 中 ， 我 将 展 示 如 何 利 用 一 个 X X E 漏 洞 提 权 以 执 行 系 统 命 令 ， 该 问 题 可 能 影 响 当 前 所 有 P e o p l e S o f t 版 本 软 件 。 X X E 漏 洞 ： 获 取 本 地 网 络 访 问 权 限 漏 洞 ： 获 取 本 地 网 络 访 问 权 限 P e o p l e S o f t 存 在 多 个 X X E 漏 洞 ， 如 早 几 年 的 C V E - 2 0 1 3 - 3 8 0 0 和 C V E - 2 0 1 3 - 3 8 2 1 ， 最 新 的 为 E R P S c a n 发 现 的 C V E - 2 0 1 7 - 3 5 4 8 。 通 常 来 说 ， 可 以 利 用 这 些 漏 洞 获 得 P e o p l e S o f t 和 W e b L o g i c 控 制 端 的 密 码 信 息 ， 但 在 该 测 试 环 境 中 这 种 方 法 的 成 功 实 现 需 要 一 定 难 度 。 另 外 ， 由 于 C V E - 2 0 1 7 - 3 5 4 8 为 B i n d - X X E 漏 洞 ， 而 且 我 认 为 目 标 网 络 系 统 可 能 部 署 有 防 火 墙 ， 所 以 ， 利 用 X X E 漏 洞 窃 取 系 统 信 息 并 不 像 想 像 中 的 那 么 简 单 。 在 这 里 ， 我 们 一 起 来 看 看 C V E - 2 0 1 3 - 3 8 2 1 和 C V E - 2 0 1 7 - 3 5 4 8 的 P o C 利 用 代 码 ： C V E - 2 0 1 3 - 3 8 2 1 ： 集 成 网 关 ： 集 成 网 关 H t t p L i s t e n i n g C o n n e c t o r   X X E
C V E - 2 0 1 7 - 3 5 4 8 ： 集 成 网 关 ： 集 成 网 关 P e o p l e S o f t S e r v i c e L i s t e n i n g C o n n e c t o r   X X E 换 个 思 路 考 虑 一 下 ， 我 觉 得 可 以 利 用 X X E 漏 洞 来 访 问 本 地 服 务 器 l o c a l h o s t 的 各 种 服 务 ， 或 许 这 还 能 绕 过 防 火 墙 规 则 或 身 份 验 证 检 查 。 因 此 ， 在 这 里 只 需 要 知 道 P e o p l e S o f t 的 服 务 端 口 即 可 。 最 终 ， 我 通 过 获 取 其 访 问 主 页 服 务 的 c o o k i e 识 别 了 端 口 信 息 ： S e t - C o o k i e :   S N P 2 1 1 8 - 5 1 5 0 0 - P O R T A L - P S J S E S S I O N I D = 9 J w q Z V x K j z G J n 1 s 5 D L f 1 t 4 6 p z 9 1 F F b 3 p ! - 1 5 1 5 5 1 4 0 7 9 ; 可 以 看 出 ， 当 前 P e o p l e S o f t 的 服 务 端 口 为 5 1 0 0 ， 可 以 通 过 h t t p : / / l o c a l h o s t : 5 1 5 0 0 / 方 式 访 问 到 相 应 的 应 用 程 序 。 A p a c h e   A x i s 服 务 的 利 用 服 务 的 利 用 在 P e o p l e S o f t 服 务 架 构 中 ， 其 中 一 个 未 经 验 证 授 权 的 服 务 为 通 过 h t t p : / / w e b s i t e . c o m / p s p c / s e r v i c e s 方 式 访 问 的 A p a c h e   A x i s   1 . 4 。 该 A p a c h e A x i s 服 务 允 许 我 们 从 J a v a 类 中 构 建 S O A P 终 端 ， 然 后 利 用 生 成 的 W e b 服 务 描 述 语 言 （ W S D L ） 配 合 辅 助 代 码 实 现 与 这 些 终 端 进 行 交 互 。 我 们 可 以 通 过 h t t p : / / w e b s i t e . c o m / p s p c / s e r v i c e s / A d m i n S e r v i c e 对 A p a c h e   A x i s 服 务 进 行 管 理 ：
以 下 为 A p a c h e   A x i s 管 理 员 基 于 j a v a . u t i l . R a n d o m 类 创 建 S O A P 服 务 端 的 P O S T 代 码 ， 从 该 代 码 中 ， 我 们 可 以 看 到 一 些 具 体 的 服 务 创 建 方 式 ： 由 于 j a v a . u t i l . R a n d o m 类 中 的 每 一 个 公 用 方 法 都 可 以 作 为 一 个 服 务 来 使 用 ， 因 此 ， 我 们 可 以 通 过 S O A P 来 调 用 R a n d o m . n e x t I n t ( ) 方 法 ， 其 请 求 的 P O S T 代 码 如 下 ：
之 后 ， 会 产 生 以 下 响 应 信 息 ， 这 些 信 息 对 应 了 X M L 方 式 的 一 些 设 置 ： 虽 然 该 管 理 终 端 对 外 部 I P 地 址 进 行 了 屏 蔽 ， 但 通 过 l o c a l h o s t 本 地 访 问 时 却 不 需 要 输 入 任 何 验 证 密 码 。 因 此 ， 这 理 所 当 然 地 成 为 了 我 们 的 一 个 渗 透 突 破 口 。 但 是 ， 由 于 我 们 将 要 利 用 的 是 X X E 漏 洞 ， 需 要 通 过 构 造 G E T 方 式 获 取 相 关 信 息 ， 因 此 可 以 参 考 以 上 创 建 服 务 和 调 用 方 法 的 P O S T 请 求 ， 在 后 续 与 服 务 器 的 交 互 过 程 中 ， 将 我 们 特 定 的 S O A P   P a y l o a d 攻 击 载 荷 转 换 为 G E T 请 求 发 送 给 主 机 服 务 器 ， 最 终 尝 试 获 得 一 些 有 用 信 息 。 A x i s :   参 考 参 考 P O S T 请 求 构 造 请 求 构 造 G E T 形 式 的 形 式 的 S O A P   P a y l o a d A x i s   A P I 允 许 发 送 G E T 请 求 ， 它 首 先 会 接 收 给 定 的 U R L 参 数 ， 然 后 再 将 这 些 参 数 转 换 为 一 个 S O A P   P a y l o a d 。 通 过 分 析 发 现 ， 在 A x i s 源 代 码 中 ， 有 一 段 方 法 代 码 可 以 把 G E T 参 数 转 换 为 有 效 的 X M L     P a y l o a d ， 该 方 法 代 码 如 下 ：
为 了 更 好 地 理 解 它 的 转 换 机 制   ， 我 们 来 看 这 个 示 例 ： 以 上 G E T 请 求 等 同 于 X M L 形 式 的 设 置 如 下 ： 然 而 ， 当 我 们 尝 试 使 用 这 种 方 法 来 创 建 一 个 新 的 服 务 端 时 却 出 现 了 一 个 问 题 ： 在 代 码 层 面 ， 我 们 定 义 的 X M L 标 签 必 须 要 设 置 属 性 。 因 此 ， 当 我 们 像 如 下 方 式 在 G E T 请 求 中 添 加 了 X M L 标 签 属 性 之 后 ： 得 到 的 相 应 X M L 设 置 信 息 如 下 ：
很 显 然 ， 注 意 查 看 红 框 标 记 ， 该 文 件 是 个 无 效 的 X M L 文 件 ， 其 直 观 在 在 浏 览 器 中 的 运 行 结 果 是 这 样 的 ： 当 然 ， 其 对 服 务 器 的 请 求 最 终 也 是 无 效 的 。 但 如 果 我 们 像 下 面 这 样 把 整 个 P a y l o a d 放 到 方 法 参 数 中 ： G E T   / p s p c / s e r v i c e s / S o m e S e r v i c e           ? m e t h o d = m y M e t h o d + a t t r = " x " > < t e s t > y < / t e s t > < / m y M e t h o d 将 会 得 到 如 下 的 X M L 设 置 信 息 ： 请 注 意 观 察 ， 我 们 的 P a y l o a d 信 息 会 被 两 次 进 行 解 析 设 置 ， 第 一 次 解 析 的 前 缀 为 “ < ” ， 第 二 次 为 “ < / ” 。 为 了 实 现 一 次 解 析 ， 我 们 可 以 使 用 以 下 X M L 注 释 方 法 来 解 决 ： G E T   / p s p c / s e r v i c e s / S o m e S e r v i c e           ? m e t h o d = ! - - > < m y M e t h o d + a t t r = " x " > < t e s t > y < / t e s t > < / m y M e t h o d 之 后 ， 可 以 得 到 正 常 有 效 的 如 下 X M L 设 置 信 息 ：
在 < s o a p e n v : B o d y > 当 中 ， 由 于 我 们 之 前 在 G E T 信 息 中 添 加 了 “ ! – > ” 前 缀 ， 所 以 首 个 P a y l o a d 以 X M L 注 释 的 起 始 标 记 “ < ! – ” 开 头 ， 第 二 个 P a y l o a d 却 是 以 X M L 注 释 结 束 标 记 < / ! – > 开 始 的 ， 这 也 意 味 着 在 < ! – > 和 < / ! – > 之 间 的 P a y l o a d 将 会 被 注 释 掉 ， 我 们 预 计 要 执 行 的 在 < / ! – > 之 后 的 P a y l o a d 将 会 成 功 一 次 解 析 执 行 。 由 此 ， 我 们 就 可 以 将 任 意 的 S O A P 请 求 从 原 先 的 P O S T 方 式 转 化 为 X X E 漏 洞 可 以 利 用 的 G E T 方 式 了 ， 同 时 也 就 意 味 着 ， 我 们 可 以 利 用 X X E 漏 洞 绕 过 I P 检 查 机 制 ， 将 任 意 类 上 传 部 署 为 A x i s     S e r v i c e 使 用 。 A x i s :   源 码 分 析 后 的 缺 陷 方 法 利 用 源 码 分 析 后 的 缺 陷 方 法 利 用 在 服 务 部 署 时 ， A p a c h e   A x i s 不 允 许 我 们 上 传 自 己 设 置 的 J a v z 类 ， 只 能 使 用 系 统 提 供 的 服 务 类 。 在 对 P e o p l e S o f t 中 包 含 A x i s 实 例 的 p s p c . w a r 包 文 件 进 行 分 析 之 后 ， 我 发 现 o r g . a p a c h e . p l u t o . p o r t a l I m p l 包 中 的 部 署 类 包 含 了 一 些 很 有 意 思 且 可 以 利 用 的 方 法 。 比 如 ， a d d T o E n t i t y R e g ( S t r i n g [ ] a r g s ) 方 法 允 许 在 X M L 文 件 结 尾 添 加 任 意 数 据 ， 另 外 ， c o p y ( f i l e 1 ,   f i l e 2 ) 方 法 还 允 许 我 们 进 行 任 意 复 制 拷 贝 。 这 两 个 方 法 缺 陷 足 以 让 我 们 向 服 务 器 中 部 署 包 含 J S P   P a y l o a d 的 X M L 文 件 ， 并 把 其 拷 贝 到 w e b r o o t 目 录 下 ， 从 而 获 取 到 系 统 的 控 制 s h e l l 。 正 如 预 想 的 那 样 ， 利 用 这 种 方 法 ， 配 合 X X E 漏 洞 ， 我 们 最 终 从 P e o p l e S o f t 中 获 得 了 S Y S T E M 系 统 权 限 ， 实 现 任 意 命 令 执 行 目 的 。 对 P e o p l e S o f t 来 说 ， 这 是 一 个 严 重 的 未 授 权 验 证 远 程 系 统 命 令 执 行 漏 洞 。 E X P L O I T 目 前 ， 据 我 的 分 析 和 测 试 来 看 ， 该 漏 洞 可 能 影 响 当 前 所 有 版 本 的 P e o p l e S o f t 。 经 对 以 上 方 法 思 路 的 整 理 ， 最 终 总 结 出 了 以 下 可 以 进 行 安 全 测 试 的 E X P L O I T 。 （ 代 码 具 有 危 险 性 ， 请 勿 用 于 非 法 目 的 ） ：



回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理