搜索

[11684] 2017-08-20_CVE-2017-3085：AdobeFlash泄漏Windows用户凭证

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-08-20_CVE-2017-3085：AdobeFlash泄漏Windows用户凭证 C V E - 2 0 1 7 - 3 0 8 5 ： A d o b e   F l a s h 泄 漏 W i n d o w s 用 户 凭 证 鸢 尾   F r e e B u f   2 0 1 7 - 0 8 - 2 0 早 前 我 写 了 一 篇 文 章 讲 述 早 前 我 写 了 一 篇 文 章 讲 述 F l a s h 沙 盒 逃 逸 漏 洞 最 终 导 致 沙 盒 逃 逸 漏 洞 最 终 导 致 F l a s h   P l a y e r 使 用 了 十 年 之 久 的 本 地 安 全 沙 盒 项 目 破 产 。 使 用 了 十 年 之 久 的 本 地 安 全 沙 盒 项 目 破 产 。 从 之 前 爆 出 的 从 之 前 爆 出 的 这 个 漏 洞 就 可 以 看 出 输 入 验 证 的 重 要 性 ， 靠 着 这 个 漏 洞 就 可 以 看 出 输 入 验 证 的 重 要 性 ， 靠 着 F l a s h 运 行 时 混 合 运 行 时 混 合 U N C 以 及 文 件 以 及 文 件 U R I 就 足 够 提 取 本 地 数 据 ， 之 后 获 取 就 足 够 提 取 本 地 数 据 ， 之 后 获 取 W i n d o w s 用 户 凭 证 传 输 给 远 端 用 户 凭 证 传 输 给 远 端 S M B 服 务 器 。 服 务 器 。 F l a s h   P l a y e r   2 3 开 始 使 用 l o c a l - w i t h - f i l e s y s t e m 沙 盒 ， 有 效 的 解 决 了 本 地 存 在 的 这 两 个 问 题 。 然 而 有 趣 的 是 在 发 行 说 明 中 却 忽 略 了 l o c a l - w i t h - n e t w o r k i n g 以 及 r e m o t e 这 两 个 沙 盒 ， 实 在 让 我 怀 疑 官 方 是 否 有 用 心 在 修 补 漏 洞 。 事 实 上 ， 最 初 的 测 试 显 示 F l a s h 拒 绝 所 有 的 U N C 或 者 文 件 风 格 的 路 径 ， 就 连 沙 盒 似 乎 都 不 接 受 非 H T T P   U R L 。 反 过 来 思 考 这 个 问 题 ， 是 不 是 我 们 只 要 先 通 过 了 输 入 验 证 就 可 以 随 意 修 改 输 入 表 达 式 了 ？ 本 文 所 述 漏 洞 已 向 A d o b e 报 告 ( A P S B 1 7 - 2 3 ) ， 分 配 的 C V E 为 C V E - 2 0 1 7 - 3 0 8 5 . H T T P 重 定 向 重 定 向 再 次 重 申 利 用 之 前 那 个 漏 洞 的 关 键 ， 在 于 我 们 的 恶 意 F l a s h 应 用 能 连 接 到 S M B 服 务 器 。 不 经 过 身 份 验 证 直 接 让 服 务 端 拒 绝 我 们 的 访 问 ， 之 后 服 务 端 触 发 漏 洞 获 得 W i n d o w s 用 户 凭 证 。 A d o b e 似 乎 有 意 识 到 这 种 攻 击 向 量 的 存 在 。 F l a s h 之 前 的 版 本 都 可 以 从 任 意 S M B 服 务 端 加 载 资 源 ， 2 3 版 本 之 后 就 开 始 拒 绝 所 有 的 U N C 及 文 件 风 格 路 径 （ 两 种 用 于 引 用 S M B 主 机 的 方 案 ） ， 例 如 1 0 . 0 . 0 . 1 s o m e f i l e . t x t 以 及 f i l e : / / / / / 1 0 . 0 . 0 . 1 / s o m e / f i l e . t x t ， 两 者 等 效 且 被 拒 绝 访 问 。 不 幸 的 是 本 想 采 用 微 软 的 U R I 列 表 来 构 造 生 成 我 们 想 要 的 U R L ， 然 而 最 终 的 结 果 让 人 不 太 满 意 。 沙 盒 及 U R L L o a d e r 都 不 接 受 前 缀 非 H T T P 或 者 H T T P S 的 路 径 ， 似 乎 是 A d o b e 通 过 切 换 到 白 名 单 方 法 来 进 行 加 强 。 现 在 我 们 是 否 能 在 通 过 输 入 验 证 之 后 更 改 请 求 路 径 ？ 虽 然 H T T P 的 使 用 被 限 制 了 ， 但 我 们 可 以 转 而 利 用 H T T P 的 重 定 向 去 访 问 S M B 主 机 。 H T T P 与 S M B 的 这 个 组 合 虽 然 不 常 见 ， 但 并 非 不 能 组 合 。 根 据 这 个 思 路 ， 我 立 马 联 想 到 知 名 的 R e d i r e c t - t o - S M B 漏 洞 。 通 过 设 置 H T T P 的 L o c a t i o n 头 信 息 以 及 一 个 恰 当 的 响 应 代 码 ( 例 如 3 0 1 ， 3 0 2 ) ， 就 可 以 利 用 该 漏 洞 将 H T T P 请 求 重 定 向 到 一 个 恶 意 S M B 服 务 器 漏 洞 利 用 漏 洞 利 用 在 我 们 的 攻 击 场 景 中 ， 恶 意 F l a s h 应 用 以 及 S M B 服 务 都 运 行 在 I P 地 址 为 2 3 . 1 0 0 . 1 2 2 . 2 的 机 器 上 。 该 F l a s h 应 用 运 行 在 目 标 本 地 机 器 上 的 r e m o t e 沙 盒 ， 也 就 是 说 运 行 时 禁 止 本 地 文 件 系 统 访 问 ， 但 允 许 远 程 连 接 。 追 溯 W i n 3 2   A P I 发 现 受 R e d i r e c t - t o - S M B 影 响 的 函 数 驻 留 在 u r l m o n . d l l ， 因 此 使 用 该 F l a s h 的 I E 及 其 他 第 三 方 应 用 都 是 存 在 威 胁 的 。 尝 试 重 定 向 到 一 个 出 站 请 求 G E T   / s o m e f i l e . t x t ：
C o d e   # 2 0 3 2 是 F l a s h 对 S t r e a m   E r r o r 的 代 号 ， 此 外 # 2 0 4 8 可 能 表 明 成 功 ， 使 用 W i r e s h a r k 看 看 到 底 发 生 了 什 么 ： 我 们 的 H T T P / 1 . 1   3 0 2 响 应 没 有 触 发 S M B 通 信 ， 可 是 请 注 意 这 里 有 一 个 对 c r o s s d o m a i n . x m l 的 G E T 请 求 , 被 称 为 跨 域 策 略 文 件 ， 如 果 没 有 明 确 允 许 d o m a i n - b . c o m ， 托 管 在 d o m a i n - a . c o m 的 F l a s h 应 用 运 行 时 就 不 会 从 该 域 加 载 资 源 。 细 心 的 读 者 可 能 注 意 到 A d o b e 的 定 义 与 H T T P   C O R S ( 参 考 R F C 6 4 5 4 ) 不 同 ， 限 制 了 其 本 身 的 跨 域 数 据 处 理 。 具 体 来 说 它 没 有 去 考 虑 其 他 不 同 的 协 议 ， 因 此 该 安 全 机 制 与 我 们 的 攻 击 没 有 任 何 交 集 ： 我 们 尝 试 重 定 向 到 S M B ， 相 同 主 机 上 的 不 同 协 议 。 然 而 有 趣 的 是 ， 通 过 W i r e s h a r k 获 取 的 信 息 表 明 ： c r o s s d o m a i n . x m l 请 求 的 地 址 与 我 们 F l a s h 应 用 的 地 址 相 同 。 采 用 A d o b e 开 发 指 南 中 的 语 法 构 造 一 个 限 制 最 小 的 跨 域 策 略 ： < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   c r o s s - d o m a i n - p o l i c y   S Y S T E M   " h t t p : / / w w w . a d o b e . c o m / x m l / d t d s / c r o s s - d o m a i n - p o l i c y . d t d " >         < s i t e - c o n t r o l   p e r m i t t e d - c r o s s - d o m a i n - p o l i c i e s = " a l l " / >         < a l l o w - a c c e s s - f r o m   d o m a i n = " * "   s e c u r e = " f a l s e " / >         < a l l o w - h t t p - r e q u e s t - h e a d e r s - f r o m   d o m a i n = " * "   h e a d e r s = " * "   s e c u r e = " f a l s e " / > < / c r o s s - d o m a i n - p o l i c y 重 新 加 载 F l a s h 应 用 ， 继 续 观 察 ： 成 功 建 立 目 标 机 器 ( 2 3 . 1 0 0 . 1 2 2 . 3 ) 与 我 们 的 远 程 服 务 器 ( 2 3 . 1 0 0 . 1 2 2 . 2 ) 之 间 的 S M B 连 接 。 至 此 我 们 便 可 以 重 复 之 前 的 操 作 。 使 用 一 个 P y t h o n 脚 本 调 用 S M B T r a p 对 恶 意 S M B 服 务 器 进 行 操 作 ， 之 后 通 过 传 入 的 请 求 捕 获 目 标 的 用 户 凭 证 ：
总 结 总 结 有 趣 的 是 与 之 前 的 漏 洞 相 比 较 ， 这 次 E d g e 与 C h r o m e （ 开 启 F l a s h ） 都 不 受 影 响 ， 似 乎 这 两 个 浏 览 器 都 对 F l a s h 连 接 S M B 主 机 已 经 有 了 防 护 机 制 。 F i r e f o x 及 I n t e r n e t   E x p l o r e r 受 该 漏 洞 影 响 ， 当 前 版 本 的 M i c r o s o f t   O f f i c e 同 样 适 用 。 除 此 之 外 ， 该 漏 洞 还 影 响 到 r e m o t e   和 l o c a l - w i t h - n e t w o r k i n g 两 个 沙 盒 。 F l a s h   P l a y e r   2 6 . 0 . 0 . 1 5 1 已 修 复 该 漏 洞 ， 用 户 可 通 过 W i n d o w s   U p d a t e 以 及 A d o b e 官 网 进 行 下 载 更 新 。 附 录 附 录 受 影 响 主 机 环 境 受 影 响 主 机 环 境 F i r e f o x I n t e r n e t   E x p l o r e r M i c r o s o f t   O f f i c e   2 0 1 0 ,   2 0 1 3   a n d   2 0 1 6 受 影 响 平 台 受 影 响 平 台 F l a s h   P l a y e r   2 3 . 0 . 0 . 1 6 2   t o   2 6 . 0 . 0 . 1 3 7 W i n d o w s   X P ,   V i s t a ,   7 ,   8 . x   a n d   1 0 参 考 文 献 参 考 文 献 A d o b e   S e c u r i t y   B u l l e t i n   A P S B 1 7 - 2 3 C V E - 2 0 1 7 - 3 0 8 5 Z D I - 1 7 - 6 3 4 T h r e a t p o s t   –   P a t c h e d   F l a s h   P l a y e r   S a n d b o x   E s c a p e   L e a k e d   W i n d o w s   C r e d e n t i a l s S C   M a g a z i n e   U K   –   R e c e n t l y   p a t c h e d   F l a s h   P l a y e r   s a n d b o x   l e a k s   W i n d o w s   c r e d e n t i a l s B l e e p i n g C o m p u t e r   –   R e c e n t l y   P a t c h e d   F l a s h   B u g   C a n   L e a k   W i n d o w s   C r e d e n t i a l s S e c u r i t y . N L   ( D u t c h )   –   R a d b o u d - s t u d e n t   o n t d e k t   o p n i e u w   l e k   i n   A d o b e   F l a s h   P l a y e r S e c N e w s   ( G r e e k )   –   F l a s h   P l a y e r   μ ε τ ά   τ η ν   ε ν η μ έ ρ ω σ η :   ε υ π ά θ ε ι α   κ α ι   π ά λ ι C o m p u t e r B i l d   ( G e r m a n )   –   A d o b e   P a t c h d a y :   U p d a t e s   g e g e n   ü b e r   8 0   S i c h e r h e i t s l ü c k e n S e c u r i t y W e e k   –   A d o b e   P a t c h e s   6 9   F l a w s   i n   F l a s h ,   R e a d e r ,   A c r o b a t S e c u r i t y T r a c k e r   –   A d o b e   F l a s h   P l a y e r   B u g s   L e t   R e m o t e   U s e r s   O b t a i n   P o t e n t i a l l y   S e n s i t i v e   I n f o r m a t i o n   a n d   E x e c u t e   A r b i t r a r y   C o d e 参 考 来 源 ： 参 考 来 源 ： b j o r n w e b ， ， f r e e b u f 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理