搜索

[13488] 2018-12-02_赛门铁克Altiris权限提升漏洞分析（CVE-2018-5240）

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2018-12-02_赛门铁克Altiris权限提升漏洞分析（CVE-2018-5240） 赛 门 铁 克 A l t i r i s 权 限 提 升 漏 洞 分 析 （ C V E - 2 0 1 8 - 5 2 4 0 ） A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 0 2 前 言 前 言 在 近 期 的 一 项 渗 透 测 试 实 践 中 ， 我 们 在 最 新 版 本 赛 门 铁 克 在 近 期 的 一 项 渗 透 测 试 实 践 中 ， 我 们 在 最 新 版 本 赛 门 铁 克 M a n a g e m e n t   A g e n t （ （ A l t i r i s ） 中 发 现 了 一 个 安 全 漏 ） 中 发 现 了 一 个 安 全 漏 洞 ， 而 这 个 安 全 漏 洞 将 允 许 攻 击 者 实 现 提 权 。 洞 ， 而 这 个 安 全 漏 洞 将 允 许 攻 击 者 实 现 提 权 。 概 述 概 述 当 A l t i r i s 代 理 执 行 任 务 扫 描 时 （ 例 如 软 件 扫 描 ） ， S Y S T E M 级 服 务 会 在 扫 描 任 务 执 行 完 毕 之 后 向 N S I 和 O u t B o x 目 录 重 新 申 请 权 限 。 即 ： 申 请 到 的 权 限 会 给 ‘ E v e r y o n e ’ 组 成 员 提 供 这 两 个 文 件 目 录 的 完 整 控 制 权 ， 并 允 许 任 何 一 名 标 准 用 户 创 建 其 他 代 替 目 录 的 链 接 。 因 此 ， ‘ E v e r y o n e ’ 权 限 将 会 赋 予 给 其 他 代 替 目 录 ， 从 而 该 目 录 下 的 任 何 一 份 文 件 或 文 件 夹 都 会 继 承 这 种 完 全 控 制 权 限 。 这 也 就 意 味 着 ， 任 何 一 名 低 权 限 用 户 都 可 以 在 安 装 了 S y m a n t e c   M a n a g e m e n t   A g e n t   v 7 . 6 ,   v 8 . 0 或 v 8 . 1 R U 7 的 终 端 设 备 上 实 现 权 限 提 升 。 分 析 分 析 & 发 现 发 现 在 执 行 渗 透 测 试 的 过 程 中 ， 我 们 经 常 会 遇 到 各 种 各 样 安 装 了 不 同 类 型 终 端 软 件 的 主 机 设 备 。 这 些 软 件 很 可 能 就 是 我 们 的 切 入 点 ， 因 为 我 们 可 以 利 用 它 们 来 实 现 提 权 ， 或 者 实 现 横 向 渗 透 。 在 这 些 终 端 管 理 软 件 中 ， 我 们 经 常 会 见 到 的 就 是 赛 门 铁 克 的 A l t i r i s 。 这 个 软 件 是 一 款 终 端 管 理 框 架 ， 它 不 仅 可 以 帮 助 组 织 或 管 理 员 确 保 设 备 及 时 安 装 了 最 新 版 本 的 操 作 系 统 补 丁 或 软 件 更 新 ， 还 可 以 检 查 用 户 或 组 权 限 。 我 们 这 一 次 测 试 的 版 本 是 v 7 . 6 ， 不 过 赛 门 铁 克 方 面 也 证 实 了 ， 在 最 新 补 丁 发 布 之 前 的 所 有 A l t i r i s 版 本 都 会 受 到 这 个 问 题 的 影 响 。 C : P r o g r a m F i l e s A l t i r i s I n v e n t o r y O u t b o x C : P r o g r a m F i l e s A l t i r i s I n v e n t o r y N S I
我 们 发 现 ， A l t i r i s 文 件 架 构 中 的 目 录 都 应 用 了 ‘ E v e r y o n e - 完 整 控 制 ’ 权 限 。 这 些 目 录 看 起 来 存 储 的 是 合 法 内 容 ， 例 如 扫 描 配 置 文 件 和 X M L 文 件 等 等 。 但 是 这 些 目 录 和 文 件 的 权 限 都 使 用 了 一 行 简 单 的 P o w e r S h e l l 代 码 ， 并 允 许 我 们 查 看 任 意 W i n d o w s 主 机 的 A C L 权 限 ： 在 查 看 这 些 文 件 目 录 的 时 间 戳 时 ， 我 们 发 现 这 些 目 录 中 的 文 件 时 间 戳 每 天 都 会 发 生 变 化 。 深 入 研 究 之 后 ， 我 们 发 现 这 些 文 件 会 在 A l t i r i s 执 行 完 系 统 或 软 件 扫 描 之 后 被 修 改 。 现 在 ， 根 据 不 同 组 织 对 配 置 和 扫 描 任 务 的 需 求 ， 这 样 的 情 况 每 天 还 有 可 能 发 生 若 干 次 。 接 下 来 的 事 情 就 非 常 有 趣 了 ， 当 我 们 发 现 了 这 种 特 性 之 后 ， 我 们 打 算 看 看 C y l a n c e 近 期 披 露 的 攻 击 方 式 在 这 里 是 否 有 效 【 参 考 资 料 】 。 下 面 给 出 的 是 N S I 文 件 夹 的 目 录 权 限 ， 这 个 目 录 的 权 限 跟 O u t b o x 目 录 是 相 同 的 ： 接 下 来 ， 我 们 可 以 尝 试 使 用 J a m e s   F o r s h a w 的 符 号 连 接 测 试 工 具 来 将 该 目 录 重 定 向 到 其 他 位 置 ， 然 后 创 建 一 个 其 他 目 录 的 挂 载 点 ， 看 看 这 个 目 录 下 的 文 件 是 否 会 被 改 写 ， 而 事 实 是 我 们 成 功 了 。 当 然 了 ， 我 们 还 可 以 使 用 s y s i n t e r n a l s 的 链 接 工 具 ， 但 是 这 个 工 具 要 求 源 目 录 不 存 在 ， 但 是 我 们 这 里 的 目 录 已 经 存 在 并 拥 有 ‘ E v e r y o n e ’ 权 限 了 。 比 如 说 ： G e t - C h i l d I t e m C :   - R e c u r s e   - E r r o r A c t i o n   S i l e n t l y C o n t i n u e   |   F o r E a c h - O b j e c t   { t r y   { G e t - A c l   - P a t h $ _ . F u l l N a m e   |   S e l e c t - O b j e c t   p s c h i l d n a m e , p s p a t h , a c c e s s t o s t r i n g } c a t c h { } } | E x p o r t - C s v   C : t e m p a c l . c s v   - N o T y p e I n f o r m a t i o n
如 果 我 们 把 这 个 目 录 删 除 ， 我 们 就 没 有 权 限 去 实 现 这 种 攻 击 了 。 而 J a m e s   F o r s h a w 的 工 具 允 许 覆 盖 已 存 在 的 目 录 ： 在 这 种 攻 击 技 术 中 还 可 以 使 用 另 一 个 名 叫 m k l i n k . e x e 的 W i n d o w s 工 具 ， 但 是 该 工 具 需 要 高 级 权 限 ， 这 里 就 不 适 用 了 ， 因 为 我 们 要 做 的 就 是 提 权 。 攻 击 分 析 攻 击 分 析 我 们 应 该 如 何 实 现 攻 击 呢 ？ 别 担 心 ， 我 们 有 很 多 种 方 法 来 利 用 这 个 漏 洞 ， 但 是 最 简 单 的 方 法 就 是 去 尝 试 覆 盖 整 个 A l t i r i s 根 目 录 ( “ C : P r o g r a m   F i l e s A l t i r i s A l r i t i s A g e n t ” ) 权 限 ， 这 样 我 们 就 可 以 修 改 S Y S T E M 账 号 下 运 行 的 服 务 代 码 了 ， 也 就 是 A e N X S A g e n t . e x e 。 下 面 的 截 图 显 示 的 是 在 挂 载 点 修 改 权 限 之 前 A l t i r i s   A g e n t 目 录 以 及 A s N X S A g e n t . e x e 服 务 代 码 的 权 限 ：
接 下 来 ， 我 们 创 建 一 个 指 向 A l t i r i s   A g e n t 目 录 的 挂 载 点 ， 运 行 之 后 我 们 就 可 以 让 每 一 个 文 件 拥 有 完 整 权 限 了 ， 实 现 起 来 非 常 简 单 。 这 里 我 们 可 以 使 用 J a m e s   F o r s h a w 的 符 号 链 接 测 试 工 具 来 创 建 和 验 证 挂 载 点 。 接 下 来 ， 我 们 只 需 要 目 标 主 机 再 次 执 行 扫 描 任 务 ， 下 面 的 截 图 显 示 的 就 是 我 们 的 成 果 ： 当 我 们 拿 到 了 A e X N S A g e n t . e x e 的 完 整 控 制 权 之 后 ， 我 们 就 可 以 替 换 服 务 代 码 ， 然 后 重 启 主 机 来 获 取 S Y S T E M 权 限 了 。 总 结 总 结 A l t i r i s   M a n a g e m e n t   A g e n t   v 7 . 6 ,   v 8 . 0 和 8 . 1   R U 7 均 会 受 到 该 漏 洞 的 影 响 ， 我 们 强 烈 建 议 大 家 尽 快 升 级 更 新 自 己 的 软 件 。 如 果 大 家 还 有 利 用 该 漏 洞 的 新 姿 势 ， 欢 迎 大 家 在 下 方 评 论 区 踊 跃 讨 论 。 * 参 考 来 源 ： n e t t i t u d e ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理