搜索

[13149] 2018-09-05_看我利用传真功能漏洞渗透进入企业内网

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-09-05_看我利用传真功能漏洞渗透进入企业内网 看 我 利 用 传 真 功 能 漏 洞 渗 透 进 入 企 业 内 网 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 0 5 从 远 古 时 代 的 飞 鸽 从 远 古 时 代 的 飞 鸽 传 书 到 后 来 的 邮 政 快 递 ， 写 信 人 与 收 信 人 之 间 的 物 理 消 息 传 递 方 式 逐 渐 在 演 变 发 展 ， 之 后 ， 传 真 技 术 的 出 现 从 传 书 到 后 来 的 邮 政 快 递 ， 写 信 人 与 收 信 人 之 间 的 物 理 消 息 传 递 方 式 逐 渐 在 演 变 发 展 ， 之 后 ， 传 真 技 术 的 出 现 从 某 种 程 度 上 说 ， 帮 助 人 们 走 出 了 信 件 传 递 的 黑 暗 时 代 。 某 种 程 度 上 说 ， 帮 助 人 们 走 出 了 信 件 传 递 的 黑 暗 时 代 。 然 而 ， 技 术 发 展 到 今 天 ， 就 通 信 手 段 而 言 ， 我 们 有 电 子 邮 件 、 社 交 聊 天 、 移 动 通 信 渠 道 、 网 络 服 务 和 高 大 上 的 量 子 卫 星 通 信 等 等 ， 但 在 这 种 喜 新 厌 旧 的 信 息 时 代 中 ， 传 真 技 术 仍 然 没 被 淘 汰 ， 且 依 旧 被 广 泛 使 用 。 根 据 简 单 的 谷 歌 搜 索 可 以 发 现 ， 网 上 出 现 了 超 过 3 亿 个 的 在 用 传 真 号 码 ， 看 来 ， 传 真 技 术 还 是 我 们 常 用 的 办 公 通 信 方 式 之 一 。 为 此 ， C h e c k P o i n t   决 定 深 入 研 究 一 下 这 种 “ 老 派 ” 的 通 信 方 式 ， 看 看 它 除 了 具 备 嘈 杂 的 传 呼 机 功 能 和 官 僚 主 义 负 担 之 外 ， 是 否 存 在 着 严 重 的 网 络 安 全 风 险 。 以 下 为 C h e c k P o i n t   的 相 关 研 究 ： 研 究 背 景 研 究 背 景 传 真 通 信 是 利 用 扫 描 和 光 电 变 换 技 术 ， 从 发 端 将 文 字 、 图 像 、 照 片 等 静 态 图 像 通 过 有 线 或 无 线 信 道 传 送 到 接 收 端 ， 并 在 接 收 端 以 记 录 的 形 式 重 显 原 静 止 的 图 像 的 通 信 方 式 。 传 真 是 基 于 传 统 电 信 线 路 电 话 交 换 网 （ P S T N ） 与 软 交 换 技 术 （ N G N ） 的 融 合 。 如 今 的 传 真 技 术 被 广 泛 集 成 于 多 功 能 一 体 打 印 机 设 备 中 ， 之 后 ， 家 庭 或 企 业 通 过 以 太 网 、 W i F i 、 蓝 牙 等 接 口 把 这 些 一 体 机 接 入 内 网 使 用 。 当 然 ， 为 了 支 持 传 真 功 能 ， 这 些 一 体 机 还 连 接 了 传 统 话 务 （ P S T N ） 的 电 话 线 。 我 们 在 研 究 一 开 始 就 定 下 了 这 种 假 设 ， 攻 击 者 能 否 仅 仅 通 过 电 话 线 和 相 应 的 传 真 号 码 ， 就 能 向 多 功 能 一 体 打 印 机 发 送 恶 意 传 真 来 实 现 入 侵 呢 ？ 如 果 答 案 是 “ 能 ” ， 那 么 通 过 这 台 受 控 打 印 机 ， 就 有 可 能 深 入 向 企 业 内 网 渗 透 。 终 于 ， 经 过 漫 长 而 乏 味 的 研 究 ， 我 们 有 了 突 破 。 事 实 上 ， 我 们 在 多 功 能 一 体 打 印 机 中 发 现 了 几 个 关 键 漏 洞 ， 利 用 这 些 漏 洞 ， 通 过 向 其 发 送 构 造 的 恶 意 传 真 ， 就 能 实 现 对 其 完 全 的 入 侵 控 制 。 这 样 一 来 ， 打 开 了 企 业 内 网 之 门 ， 也 就 什 么 可 能 都 存 在 了 ， 攻 击 者 可 以 潜 伏 在 多 功 能 一 体 机 中 ， 向 脆 弱 的 企 业 内 网 电 脑 发 起 “ 永 恒 之 蓝 ” 漏 洞 攻 击 ， 或 通 过 传 真 方 式 窃 取 内 网 电 脑 数 据 并 向 外 回 传 。
我 们 把 这 种 攻 击 称 之 为 “ F a x p l o i t ” 攻 击 。 以 下 为 实 际 网 络 环 境 中 的 P o C 视 频 ： 演 示 视 频 ： 演 示 视 频 ： 逆 向 固 件 逆 向 固 件 首 先 ， 在 固 件 逆 向 分 析 过 程 中 ， 我 们 使 用 I D A 来 识 别 传 真 功 能 中 实 际 的 运 行 进 程 和 环 境 ， 有 了 一 些 发 现 ： 架 构 架 构 我 们 测 试 的 多 功 能 一 体 机 是 基 于 A R M   3 2 b i t 的 C P U 架 构 的 大 端 存 储 模 式 （ B i g - E n d i a n ） ， 主 C P U 使 用 共 享 存 储 区 与 控 制 L C D 屏 幕 的 M C U 元 件 进 行 通 信 。
操 作 系 统 操 作 系 统 操 作 系 统 是 G r e e n   H i l l s 的 T h r e a d X 式 嵌 入 式 实 时 操 作 系 统 ， 它 使 用 平 面 内 存 架 构 ， 很 多 任 务 进 程 运 行 于 内 核 模 式 下 ， 使 用 同 一 个 虚 拟 地 址 空 间 。 也 是 由 于 这 种 平 面 内 存 架 构 的 原 因 ， 我 们 认 为 任 务 进 程 的 通 信 是 通 过 消 息 队 列 方 式 进 行 的 （ F I F O ） ， 另 外 ， 其 虚 拟 地 址 空 间 是 固 定 的 ， 未 部 署 任 何 地 址 空 间 布 局 随 机 化 （ A S L R ） 保 护 机 制 。 D S I D 值 值 然 而 ， 当 我 们 在 分 析 T . 3 0 状 态 机 任 务 ( “ t T 3 0 ” ) 时 ， 偶 然 发 现 了 很 多 使 用 特 别 I D 的 追 踪 方 法 （ t r a c e ） ， 深 入 分 析 发 现 ， 这 些 I D 也 被 用 于 一 些 以 “ D S I D _ ” 为 前 缀 开 头 的 字 符 串 列 表 中 。 实 际 上 ， 这 些 字 符 串 看 似 是 与 那 些 使 用 I D 的 追 踪 方 法 （ t r a c e ） 逻 辑 相 匹 配 ， 这 也 给 了 我 们 重 要 的 逆 向 提 示 线 索 。 于 是 乎 ， 我 们 从 所 有 不 同 的 D S I D 列 表 中 创 建 了 一 个 枚 举 类 型 ， 形 成 了 任 务 中 的 各 种 追 踪 方 法 文 本 描 述 。 以 下 为 t r a c e 追 踪 方 法 中 使 用 的 D S I D 值 ： T . 3 0 状 态 机 中 的 D S I D 列 表 ： 在 追 踪 方 法 中 应 用 D S I D 枚 举 ： 任 务 不 一 致 性 任 务 不 一 致 性 当 我 们 逆 向 T . 3 0 状 态 机 和 之 后 处 理 H D L C 的 传 真 猫 （ “ t F a x M o d e m ” ） 时 ， 发 现 缺 少 了 多 个 函 数 指 针 表 。 之 后 我 们 还 发
现 ， 有 两 种 常 规 的 代 码 模 式 貌 似 和   a l l o c a t i o n / d e a l l o c a t i o n 路 径 有 些 相 似 。 每 个 模 块 中 采 用 的 方 法 ， 是 为 了 接 收 来 自 其 它 模 块 的 消 息 ， 或 者 ， 也 可 能 是 把 缓 存 发 送 到 下 一 模 块 中 ， 如 下 图 使 用 某 个 功 能 表 从 另 一 个 任 务 接 收 数 据 帧 ： 如 果 我 们 不 能 定 位 这 些 模 块 中 采 用 的 具 体 方 法 ， 也 就 无 法 弄 清 固 件 中 的 数 据 流 形 式 ， 会 对 固 件 的 下 一 步 分 析 造 成 阻 碍 。 由 于 我 们 无 法 定 位 到 大 多 数 方 法 指 针 的 初 始 化 ， 所 以 ， 我 们 需 要 一 种 动 态 方 法 ， 也 即 调 试 器 来 进 行 调 试 。 创 建 调 试 器 创 建 调 试 器 串 行 调 试 接 口 串 行 调 试 接 口 首 先 ， 我 们 分 析 了 一 体 机 的 主 板 ， 想 找 到 上 面 的 串 行 调 试 端 口 ， 不 一 会 ， 我 们 就 有 了 发 现 。 下 图 为 连 接 J T A G U L A T O R 到 打 印 机 的 串 行 调 试 器 ： 但 接 入 调 试 器 之 后 ， 我 们 才 发 现 其 调 试 接 口 的 默 认 权 限 是 受 限 的 ， 不 能 有 效 地 执 行 我 们 的 预 设 命 令 ：
这 看 起 来 是 需 要 提 权 才 行 了 ， 但 提 权 就 得 需 要 漏 洞 啊 ， 那 就 来 找 找 看 吧 ！ 匹 配 已 知 漏 洞 匹 配 已 知 漏 洞 寻 找 已 知 漏 洞 寻 找 已 知 漏 洞 当 你 要 e x p l o i t 一 种 特 定 固 件 时 ， 首 先 的 方 法 就 是 去 看 看 它 使 用 了 哪 些 开 源 代 码 ， 对 比 不 同 版 本 ， 尽 可 能 地 找 到 能 用 的 C V E 。 这 项 工 作 1 天 已 经 足 够 了 ， 对 于 调 试 目 的 来 说 也 是 绰 绰 有 余 。 有 两 种 方 法 来 判 断 使 用 的 开 源 代 码 ： 在 固 件 逆 向 代 码 中 使 用 字 符 串 查 找 ， 从 中 找 出 关 键 字 符 串 从 厂 商 网 站 中 查 找 一 些 产 品 的 开 源 代 码 认 证 信 息 另 外 ， 要 发 现 这 些 开 源 代 码 漏 洞 有 几 种 方 法 ： 在 C V E 库 中 查 找 与 其 代 码 库 相 匹 配 的 漏 洞 用 熟 悉 的 漏 洞 进 行 验 证 关 注 U S - C E R T 每 周 发 布 的 C V E 更 新 消 息 g S O A P 工 具 包 调 试 漏 洞 工 具 包 调 试 漏 洞   -   C V E - 2 0 1 7 - 9 7 6 5 在 开 源 代 码 分 析 中 ， 我 们 发 现 其 中 使 用 了 g S O A P 库 ， 经 分 析 确 认 ， g S O A P 库 曾 存 在 “ 魔 鬼 绿 萝 ” （ D e v i l ’ s   I v y ） 的 C V E - 2 0 1 7 - 9 7 6 5 漏 洞 ， 是 早 前 在 监 控 摄 像 头 开 源 软 件 中 爆 出 的 0 - d a y 漏 洞 ， 曾 影 响 了 全 球 大 量 I o T 设 备 。 以 下 为 该 漏 洞 代 码 段 的 反 编 译 代 码 ： 利 用 该 漏 洞 ， 向 多 功 能 一 体 机 发 送 超 过 2 G b 的 X M L 数 据 时 ， 将 造 成 整 型 下 溢 ， 最 终 会 导 致 栈 缓 冲 区 溢 出 ， 可 执 行 任 意 代 码 ， 能 实 现 对 目 标 多 功 能 一 体 机 的 完 全 控 制 。 但 是 ， 该 漏 洞 的 利 用 存 在 两 个 前 提 限 制 ： 漏 洞 利 用 代 码 的 传 输 需 要 耗 费 大 量 时 间 ， 优 化 后 ， 传 输 时 间 还 是 在 7 分 钟 左 右 只 能 在 I D A 和 每 次 尝 试 失 败 时 产 生 的 基 本 串 行 转 储 环 境 下 来 开 发 这 个 漏 洞
对 对 D e v i l ’ s   I v y 的 的 C V E - 2 0 1 7 - 9 7 6 5 漏 洞 利 用 漏 洞 利 用 该 漏 洞 可 以 触 发 栈 缓 冲 区 溢 出 ， 但 存 在 一 些 限 制 型 字 符 。 这 种 字 符 如 下 ： 不 可 打 印 的 :   0 x 0 0   –   0 x 1 9 ‘ ? ’ 对 应 的 :   0 x 3 F 该 漏 洞 的 一 个 好 处 是 溢 出 无 限 制 ， 也 就 是 说 ， 我 们 可 以 把 整 个 漏 洞 利 用 链 发 送 到 目 标 设 备 的 栈 区 中 进 行 攻 击 。 但 在 嵌 入 式 环 境 中 ， 我 们 需 要 注 意 的 是 其 C P U 的 各 种 缓 存 可 能 会 对 漏 洞 触 发 造 成 影 响 。 C P U 中 接 收 到 的 数 据 包 会 存 放 在 数 据 存 储 区   D a t a   C a c h e   ( D - C a c h e ) ， 而 执 行 指 令 则 会 在 I n s t r u c t i o n   C a c h e   ( I - C a c h e ) 中 进 行 。 也 就 是 说 ， 即 使 没 有 N X 位 支 持 ， 由 于 C P U 会 通 过   I - C a c h e   执 行 代 码 ， 那 么 我 们 也 不 能 直 接 在 栈 缓 冲 区 中 实 现 漏 洞 P a y l o a d 的 触 发 。 如 何 才 能 绕 过 以 上 这 些 各 种 限 制 呢 ？ 我 们 需 要 用 到 一 种 包 含 以 下 部 分 的 B o o t s t r a p p i n g 算 法 利 用 ： 可 以 刷 新 D - C a c h e   和   I - C a c h e   的 基 本 的 R O P （ 面 向 返 回 的 编 程 ） 控 制 加 载 到 调 试 器 网 络 加 载 端 的 解 码 s h e l l c o d e 整 个 调 试 器 可 以 通 过 网 络 发 送 到 加 载 端 在 此 ， 我 们 就 不 展 开 详 谈 漏 洞 利 用 链 构 造 过 程 ， 如 果 你 感 兴 趣 请 自 己 尝 试 测 试 。 接 下 来 ， 我 们 来 说 说 漏 洞 利 用 的 各 种 载 体 。 S c o u t 调 试 器 调 试 器 我 们 构 建 的 调 试 器 是 一 个 基 于 指 令 的 网 络 调 试 器 ， 它 支 持 基 本 的 内 存 读 写 请 求 ， 还 能 扩 展 支 持 特 定 固 件 指 令 。 我 们 使 用 调 试 器 从 多 功 能 打 印 机 中 提 取 了 其 内 存 ， 然 后 对 它 进 行 了 一 些 扩 展 测 试 。 一 旦 调 试 器 被 配 置 了 附 带 固 件 A P I 函 数 ， 如 m e m c p y 、 s l e e p 和 s e n d 等 地 址 后 ， 由 于 它 是 位 置 无 关 的 ， 所 以 调 试 器 就 可 以 加 载 任 意 地 址 。 S c o u t   D e b u g g e r 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / C h e c k P o i n t S W / S c o u t I T U   T . 3 0   -   F a x 协 议 协 议 多 功 能 一 体 机 如 果 支 持 传 真 功 能 ， 那 么 也 一 定 能 支 持 涉 及 传 真 设 备 的 I T U - T   G 3 协 议 标 准 ， 该 标 准 定 义 了 传 真 发 送 端 和 接 收 端 的 基 本 功 能 ， 以 及 协 议 的 不 同 实 现 阶 段 ， 如 下 图 所 示 ：
我 们 重 点 来 看 上 图 的 P h a s e   B 和 P h a s e C ， P h a s e   B 负 责 发 送 端 和 接 收 端 之 间 的 协 商 （ 握 手 ） ， 而 P h a s e   C 则 根 据 协 商 规 定 进 行 数 据 帧 传 输 。 数 据 帧 利 用 面 向 比 特 的 高 级 数 据 链 路 控 制 协 议 （ H D L C ） ， 通 过 电 话 线 来 进 行 传 输 ， 如 下 图 所 示 ： 挖 掘 攻 击 向 量 挖 掘 攻 击 向 量 发 送 发 送 T I F F s 存 在 一 种 误 解 ， 也 就 是 传 真 只 是 一 种 简 单 地 T I F F 报 文 发 送 手 段 。 实 际 上 ， T . 3 0 协 议 能 发 送 页 面 ， 且 P h a s e   B 阶 段 协 商 的 参 数 中 就 已 经 包 括 了 页 面 长 度 和 宽 度 ， 而 且 ， P h a s e   C 阶 段 则 主 要 是 传 输 页 面 的 数 据 行 。 也 就 是 说 ， 传 真 最 终 的 输 出 是 一 个 包 含 I F D 标 签 的 T I F F 文 件 ， I F D 标 签 在 该 过 程 中 用 于 构 建 协 商 用 的 元 数 据 ， . T I F F 文 件 中 包 含 有 接 收 到 的 页 面 行 。 尽 管 . t i f f 解 析 器 存 在 很 多 漏 洞 ， 但 很 多 都 是 在 I F D 标 签 的 解 析 代 码 漏 洞 ， 而 且 我 们 这 里 的 研 究 用 例 中 ， 这 些 I F D 标 签 都 是 由 多 功 能 打 印 一 体 机 自 己 创 建 的 ， 这 里 唯 一 会 对 我 们 的 页 面 内 容 执 行 的 处 理 过 程 就 是 ， 打 印 过 程 中 打 开 其 压 缩 内 容 。 T I F F 压 缩 压 缩
不 幸 的 是 ， . t i f f 格 式 使 用 的 压 缩 机 制 有 多 个 名 字 ， 因 此 首 先 需 要 把 它 们 找 出 来 。 以 下 是 它 们 的 一 个 基 本 映 射 关 系 ： T I F F   C o m p r e s s i o n   T y p e   2   =   G 3   w i t h o u t   E n d - O f - L i n e   ( E O L )   m a r k e r s T I F F   C o m p r e s s i o n   T y p e   3   =   G 3   =   I T U   T . 3 0   C o m p r e s s i o n   T . 4   =   C C I T T   1 - D T I F F   C o m p r e s s i o n   T y p e   4   =   G 4   =   I T U   T . 3 0   C o m p r e s s i o n   T . 6   =   C C I T T   2 - D 由 于 传 真 基 本 是 黑 白 颜 色 的 ， 所 以 ， 压 缩 机 制 实 际 上 是 一 种 使 用 了 固 定 霍 夫 曼 表 的 黑 白 代 码 行 程 编 码 方 式 （ R L E ） 。 因 此 ， 我 们 再 对 T . 4   和   T . 6   的 代 码 压 缩 机 制 进 行 分 析 ， 没 发 现 什 么 可 以 利 用 的 漏 洞 。 T . 3 0 扩 展 扩 展 在 P a h s e   B 阶 段 ， 传 真 猫 会 进 行 功 能 交 换 ， 所 以 它 可 以 找 出 能 支 持 的 最 佳 传 输 方 式 。 为 此 ， 我 们 编 写 了 一 个 简 单 脚 本 对 这 些 使 用 I T U   T . 3 0 标 准 的 消 息 进 行 了 语 法 分 析 ， 下 图 为 对 数 字 识 别 信 号 （ D I S ） 的 解 析 结 果 ： 看 似 我 们 测 试 的 一 体 机 支 持 I T U   T . 8 1   ( J P E G )   格 式 ， 也 就 是 说 ， 它 能 发 送 彩 色 传 真 。 而 在 分 析 彩 色 传 真 的 处 理 代 码 过 程 中 ， 我 们 有 了 另 外 的 新 发 现 ： 接 收 到 的 数 据 按 原 样 存 储 到 . j p g 文 件 中 ， 与 . t i f f 文 件 中 标 头 由 接 收 端 创 建 的 不 同 ， 这 里 的 . j p g 我 们 可 以 对 整 个 文 件 进 行 控 制 。 我 们 基 于 标 准 对 这 种 传 真 行 为 进 行 了 检 查 后 发 现 ， 由 于 J P E G 格 式 非 常 复 杂 ， 其 标 头 H e a d e r （ 也 称 为 标 记 m a k e r ） 确 实 是 通 过 电 话 线 发 送 的 ， 接 收 端 负 责 处 理 它 们 并 决 定 保 留 下 什 么 。 一 些 标 头 可 能 不 受 接 收 端 支 持 ， 会 被 丢 弃 ， 如 C O M 的 其 它 标 头 则 会 被 忽 略 。 在 我 们 对 固 件 和 开 源 代 码 的 测 试 检 查 中 ， 接 收 内 容 总 会 被 无 过 滤 地 转 储 到 一 个 文 件 中 保 存 ， 这 也 就 成 了 攻 击 者 的 一 个 很 好 的 “ 猎 物 ” 。 打 印 彩 色 传 真 打 印 彩 色 传 真 概 括 来 说 ， 当 目 标 打 印 机 接 收 到 一 个 彩 色 传 真 ， 它 就 会 简 单 地 无 安 全 过 滤 地 ， 把 其 内 容 转 储 到 一 个 . j p g 文 件 中 ， 通 常 来 说 ， 这 个 文 件 位 于 % s / j f x p t e m p % d % d . j p g 。 然 而 ， 接 收 传 真 只 是 第 一 步 ， 接 下 来 还 需 要 打 印 传 真 ， 为 此 打 印 模 块 需 要 首 先 确 认 接 收 文 件 的 长 度 和 宽 度 ， 所 以 ， 还 要 进 行 一 个 基 本 的 语 法 分 析 。 J P E G 解 析 器 解 析 器 存 在 一 些 说 不 清 的 原 因 ， 这 种 特 定 固 件 的 开 发 者 倾 向 于 把 主 流 开 源 项 目 中 实 现 的 模 块 功 能 进 行 重 新 编 写 ， 改 善 优 化 ， 也 就 是 说 ， 他 们 不 会 用 开 源 的 l i b j p e g 标 准 库 ， 转 而 是 用 自 己 的   J P E G   解 析 器 。 从 攻 击 者 角 度 来 说 ， 这 就 是 一 个 可 以 利 用 的 点 ， 在 开 发 者 自 己 开 发 的 复 杂 文 件 格 式 解 析 器 中 来 发 现 可 利 用 的 漏 洞 ， 似 乎 也 不 是 没 有 可 能 。 J P E G 解 析 器 原 理 非 常 简 单 ： 先 检 查 图 像 开 始 S O I 标 记 ： 0 x F F D 8 循 环 分 析 各 个 支 持 标 记 完 成 以 上 步 骤 后 向 调 用 者 返 回 相 关 数 据 这 不 ， 我 们 就 以 此 为 突 破 口 ， 发 现 了 以 下 两 个 漏 洞 。 C V E - 2 0 1 8 - 5 9 2 5   –   C O M 标 记 解 析 缓 冲 区 溢 出 漏 洞 标 记 解 析 缓 冲 区 溢 出 漏 洞
根 据 I T U   T . 3 0   s t a n d a r d 标 准 ， C O M 标 记   ( 0 x F F F E ) 是 一 种 大 小 可 变 的 文 本 字 段 ， 这 种 文 本 字 段 一 般 用 来 代 表 文 本 类 型 的 注 释 说 明 。 从 这 个 点 上 ， 我 们 希 望 发 现 某 种 解 析 漏 洞 。 比 较 搞 笑 的 是 ， 根 据 I T U   T . 3 0   标 准 来 看 ， 这 种 C O M 标 记 应 该 要 被 传 真 接 收 端 丢 弃 才 是 。 然 而 ， 我 们 却 在 其 中 发 现 了 以 下 漏 洞 ： 解 析 模 块 会 解 析 一 个 低 字 节 序 或 小 端 模 式 的 2 字 节 长 度 字 段 ， 并 反 复 执 行 从 传 真 文 件 中 复 制 数 据 到 一 些 全 局 数 组 中 的 操 作 。 貌 似 数 组 中 的 每 个 条 目 都 有 2 1 0 0 字 节 的 大 小 ， 而 我 们 的 构 造 的 长 度 字 段 可 以 高 达 6 4 K B ， 这 就 给 了 我 们 一 个 大 容 量 的 可 控 缓 冲 区 溢 出 区 域 。 C V E - 2 0 1 8 - 5 9 2 4   –   解 析 解 析 D H T 标 记 时 的 堆 栈 缓 冲 区 溢 出 漏 洞 标 记 时 的 堆 栈 缓 冲 区 溢 出 漏 洞 由 于 上 一 个 漏 洞 的 发 现 是 标 准 实 现 中 不 应 支 持 的 标 记 所 导 致 的 ， 所 以 ， 我 们 继 续 把 关 注 点 扩 展 到 了 其 它 标 记 身 上 。 在 解 码 文 件 的 数 据 帧 时 ， D H T 标 记 ( D i f i n e   H u f f m a n   T a b l e )   定 义 了 一 个 特 定 的 霍 夫 曼 表 来 使 用 。 而 且 ， 这 个 D H T 标 记 漏 洞 涉 及 到 的 函 数 比 上 个 漏 洞 函 数 还 简 单 容 易 一 些 ： 可 以 看 到 存 在 一 个 读 取 1 6 字 节 的 初 始 解 析 循 环 ， 这 是 因 为 每 个 字 节 代 表 了 一 个 长 度 字 段 ， 所 有 这 些 字 节 最 后 累 积 成 为 一 个 总 的 长 度 变 量 存 在 一 个 全 0 填 充 的 2 5 6 字 节 本 地 备 用 堆 栈 第 二 个 解 析 循 环 会 使 用 之 前 的 长 度 字 段 ， 从 传 真 文 件 中 拷 贝 数 据 到 本 地 堆 栈 缓 冲 区 中 一 个 简 单 的 计 算 就 能 知 晓 具 体 的 漏 洞 成 因 ： 1 6   *   2 5 5   =   4 0 8 0   >   2 5 6 ， 也 就 是 说 ， 我 们 可 以 构 造 一 个 大 容 量 可 控 且 无 限 制 的 堆 栈 缓 冲 区 溢 出 ， 这 是 多 好 的 一 个 漏 洞 啊 。 创 建 漏 洞 利 用 代 码 创 建 漏 洞 利 用 代 码
对 比 以 上 两 个 漏 洞 ， 由 于 D H T 标 记 解 析 漏 洞 相 对 容 易 实 现 。 在 D e v i l ’ s   I v y 漏 洞 中 ， 其 中 的 调 试 e x p l o i t 利 用 代 码 ， 也 是 利 用 了 一 个 堆 栈 溢 出 漏 洞 ， 那 么 这 里 我 们 也 是 一 样 ， 仅 只 需 要 对 调 试 e x p l o i t 作 出 一 些 小 修 改 即 可 。 自 动 化 自 动 化 P a y l o a d   –   实 现 图 灵 机 机 制 实 现 图 灵 机 机 制 我 们 可 以 使 用 同 样 的 网 络 加 载 器 来 构 造 调 试 e x p l o i t 。 然 而 ， 当 前 的 攻 击 向 量 有 一 个 主 要 的 优 势 ： 完 整 的 攻 击 P a y l o a d 可 以 存 储 在 传 真 发 送 的 “ J P E G ” 中 ， 鉴 于 它 不 对 传 真 内 容 执 行 任 何 安 全 过 滤 检 查 ， 因 此 我 们 可 以 把 整 个 P a y l o a d 都 存 储 在 发 送 文 档 中 ， 不 需 要 担 心 它 是 否 会 被 转 储 为 一 个 非 法 的 J P E G 文 件 。 而 且 文 件 的 f d 文 件 描 述 符 也 存 储 在 可 访 问 的 全 局 变 量 中 ， 所 以 ，   我 们 编 写 了 一 个 基 于 文 件 的 加 载 器 ， 该 加 载 器 会 从 文 件 中 读 取 P a y l o a d ， 然 后 把 它 加 载 到 内 存 中 去 。 之 后 ， 每 次 P a y l o a d 想 要 用 输 入 执 行 任 务 时 ， 它 就 会 从 同 一 文 件 中 读 取 输 入 并 按 照 其 中 的 指 令 实 现 任 务 操 作 。 为 此 ， 我 们 构 建 了 一 个 基 本 的 图 灵 机 机 制 来 从 发 送 传 真 中 读 取 输 入 并 实 现 操 作 。 通 过 网 络 传 播 通 过 网 络 传 播 入 侵 控 制 一 台 企 业 打 印 机 也 不 错 ， 但 是 我 们 想 做 的 远 不 只 这 些 。 实 际 上 ， 如 果 能 通 过 打 印 机 来 控 制 整 个 企 业 内 网 ， 那 影 响 和 威 胁 就 就 非 常 之 大 了 。 所 以 ， 我 们 利 用 我 们 漏 洞 分 析 团 队 之 前 的 研 究 结 果 ， 综 合 了 N S A 武 器   -   “ 永 恒 之 蓝 ” （ E t e r n a l   B l u e ） 和 “ 双 脉 冲 星 ” （ D o u b l e   P u l s a r ） ， 应 用 于 此 次 传 真 漏 洞 的 基 于 文 件 的 图 灵 机 中 来 。 我 们 的 漏 洞 P a y l o a d 具 备 以 下 功 能 特 点 ： 可 以 控 制 多 功 能 一 体 机 的 L C D 显 示 屏   -   这 是 一 种 打 印 机 完 全 控 制 权 的 体 现 检 查 多 功 能 一 体 机 的 网 络 是 否 为 连 通 状 态 使 用 N S A “ 永 恒 之 蓝 ” （   E t e r n a l   B l u e ） 和 “ 双 脉 冲 星 ” （ D o u b l e   P u l s a r ） 武 器 ， 攻 击 目 标 内 网 受 害 主 机 ， 实 现 入 侵 控 制 。 由 此 ， 我 们 通 过 传 真 漏 洞 远 程 实 现 企 业 内 网 的 多 功 能 一 体 机 入 侵 控 制 ， 并 以 此 为 据 点 ， 可 向 企 业 内 网 深 入 进 行 横 向 渗 透 。 总 结 总 结 我 们 测 试 用 的 多 功 能 一 体 机 为   H P   O f f i c e j e t   P r o   6 8 3 0 ， 研 究 测 试 表 明 ， 这 种 当 前 的 传 真 实 现 协 议 存 在 安 全 隐 患 ， 其 它 啥 都 不 用 ， 仅 需 要 向 目 标 一 体 机 发 送 一 份 传 真 就 能 完 全 控 制 设 备 ， 可 以 此 为 潜 伏 据 点 ， 用 已 知 的 N S A 漏 洞 e x p l o i t 深 入 向 企 业 内 网 渗 透 。 从 现 在 起 ， 传 真 机 也 能 成 为 渗 透 入 侵 企 业 内 网 的 途 径 之 一 。 我 们 认 为 ， 这 种 传 真 技 术 存 在 的 安 全 风 险 应 该 被 重 视 ， 因 为 它 延 伸 了 现 代 企 业 网 络 的 安 全 边 界 ， 网 络 打 印 机 和 传 真 机 都 有 能 成 为 网 络 架 构 中 的 一 个 入 侵 风 险 点 。 漏 洞 披 露 进 程 漏 洞 披 露 进 程 在 与 惠 普 公 司 （ H P ） 进 行 协 商 之 后 ， 有 了 以 下 的 漏 洞 披 露 进 程 ： 2 0 1 8 . 5 . 1   向 H P 公 司 上 报 漏 洞 2 0 1 8 . 5 . 1   H P 公 司 感 谢 提 交 并 着 手 处 理 漏 洞 2 0 1 8 . 5 - 2 0 1 8 . 6   不 停 的 重 现 P o C 场 景 ， 修 补 漏 洞 2 0 1 8 . 6 . 2 / 3   与 H P 公 司 面 对 面 沟 通
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理