搜索

[13948] 2019-04-04_通过WebPageTest零日漏洞实现MozillaAWS环境远程代码执行

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-04_通过WebPageTest零日漏洞实现MozillaAWS环境远程代码执行 通 过 W e b P a g e T e s t 零 日 漏 洞 实 现 M o z i l l a   A W S 环 境 远 程 代 码 执 行 c l o u d s   F r e e B u f   2 0 1 9 - 0 4 - 0 4 本 文 本 文 中 ， 中 ， A s s e t n o t e   C S 安 全 团 队 在 分 析 安 全 团 队 在 分 析 M o z i l l a   A W S 云 服 务 网 络 环 境 攻 击 面 时 ， 发 现 了 部 署 于 其 中 的 网 络 性 能 测 试 云 服 务 网 络 环 境 攻 击 面 时 ， 发 现 了 部 署 于 其 中 的 网 络 性 能 测 试 工 具 工 具 W e b P a g e T e s t 存 在 一 个 存 在 一 个 0 d a y 漏 洞 ， 利 用 该 漏 洞 最 终 实 现 了 对 漏 洞 ， 利 用 该 漏 洞 最 终 实 现 了 对 M o z i l l a   A W S 服 务 器 的 远 程 代 码 执 行 服 务 器 的 远 程 代 码 执 行 （ （ R C E ） 。 ） 。 W e b P a g e T e s t 介 绍 介 绍 W e b P a g e T e s t 是 一 款 开 源 的 W e b 前 端 性 能 分 析 工 具 ， 其 有 在 线 版 本 和 本 地 搭 建 版 本 两 种 ， 能 针 对 特 定 网 站 提 供 免 费 的 性 能 评 测 ， 支 持 I E 和 C h r o m e 浏 览 器 ， 它 会 模 拟 使 用 真 正 的 浏 览 器 ( I E 和 C h r o m e ) 连 接 速 度 ， 从 全 球 多 个 地 点 运 行 免 费 网 站 速 度 测 试 。 可 以 运 行 简 单 的 测 试 或 执 行 高 级 测 试 ， 包 括 多 步 骤 事 务 、 视 频 捕 获 、 内 容 阻 塞 等 等 。 还 将 依 据 测 试 结 果 提 供 丰 富 的 诊 断 信 息 ， 包 括 资 源 加 载 瀑 布 图 ， 页 面 速 度 优 化 检 查 和 改 进 建 议 ， 会 给 每 一 项 内 容 一 个 最 终 的 评 级 。 企 业 或 组 织 可 以 下 载   开 源 版 本 搭 建 内 部 测 试 站 点 ， 对 内 部 网 站 进 行 性 能 测 试 分 析 。 在 内 网 部 署 的 W e b P a g e T e s t 服 务 中 ， 可 以 通 过 修 改 其 中 的 s e t t i n g s . i n i 文 件 来 启 用 一 些 基 本 的 用 户 名 密 码 验 证 ， 所 以 还 是 建 议 对 此 进 行 配 置 ， 以 便 阻 止 一 些 匿 名 用 户 的 登 录 访 问 。 在 A s s e t n o t e   C S 安 全 团 队 评 估 的 很 多 内 网 W e b P a g e T e s t 服 务 中 ， 都 缺 乏 基 本 的 用 户 验 证 措 施 ， 所 以 ， 可 能 产 生 的 结 果 就 是 ， 攻 击 者 可 以 利 用 W e b P a g e T e s t 的 一 系 列 性 能 测 试 工 具 ， 来 发 起 S S R F （ 服 务 端 请 求 伪 造 ） 攻 击 ， 实 现 对 目 标 内 网 资 源 的 访 问 获 取 。 漏 洞 概 况 漏 洞 概 况 2 0 1 7 年 1 1 月 ， A s s e t n o t e   C S 安 全 团 队 在 对 M o z i l l a 的 A W S （ 亚 马 逊 云 服 务 ） 环 境 测 试 过 程 中 ， 发 现 了 以 下 两 个 网 络 资 产 ： w p t - v p n . s t a g e . m o z a w s . n e t w p t 1 . d e v . m o z a w s . n e t 这 两 个 网 络 资 产 都 属 M o z i l l a   A W S 环 境 中 的 W e b P a g e T e s t 服 务 测 试 实 例 ， 而 且 ， M o z i l l a   A W S 环 境 中 部 署 的 W e b P a g e T e s t 服 务 没 有 任 何 基 本 的 用 户 名 密 码 验 证 措 施 ， 在 与 白 帽 M a t h i a s 的 合 作 下 ， 我 们 对 其 中 部 署 的 W e b P a g e T e s t 服 务 进 行 了 源 码 分 析 ， 经 过 数 个 小 时 的 测 试 ， 我 们 就 发 现 了 一 个 可 以 导 致 远 程 代 码 执 行 （ R C E ） 的 攻 击 链 。
由 于 在 当 时 这 算 是 一 个 0 d a y 漏 洞 ， 所 以 ， 我 们 及 时 与 M o z i l l a 公 司 和 W e b P a g e T e s t 团 队 进 行 了 沟 通 协 商 ， 修 复 了 这 个 漏 洞 。 在 2 0 1 8 年 1 月 1 7 日 的 修 复 版 本 中 可 以 看 到 其 中 提 交 的 c o m m i t 信 息 。 漏 洞 发 现 利 用 漏 洞 发 现 利 用 在 W e b P a g e T e s t 的 源 码 中 ， 首 先 引 起 我 们 注 意 的 是 / w w w / w o r k / w o r k d o n e . p h p 脚 本 具 备 的 上 传 和 解 压 任 意 z i p 文 件 功 能 ， 该 p h p 脚 本 文 件 包 含 了 限 制 1 2 7 . 0 . 0 . 1 之 外 的 访 问 源 逻 辑 ， 代 码 如 下 （ 第 1 1 0 行 ） ： 同 样 在 这 个 p h p 文 件 中 ， 我 们 发 现 了 另 外 一 个 危 险 之 处 ， 那 就 是 上 传 任 意 z i p 文 件 并 解 压 至 一 个 已 知 位 置 的 逻 辑 ， 代 码 如 下 （ 第 1 3 3 - 1 3 6 行 ） ： 基 于 以 上 代 码 逻 辑 ， 如 果 我 们 能 把 I P 伪 装 为 1 2 7 . 0 . 0 . 1 ， 那 么 是 不 是 就 可 以 通 过 它 们 来 实 现 服 务 端 代 码 执 行 了 呢 ？ 但 是 ， 事 实 没 有 我 们 想 得 这 么 简 单 ， 在 / w w w / w o r k / w o r k d o n e . p h p 中 的 第 3 2 1 行 ， 还 存 在 这 么 一 个 方 法 函 数 ： S e c u r e D i r ( $ t e s t P a t h ) ; S e c u r e D i r 方 法 函 数 的 代 码 定 义 在 / w w w / c o m m o n _ l i b . i n c 文 件 的 第 2 3 2 2   -   2 3 4 7 行 ： 它 会 检 查 过 滤 掉 一 些 危 险 的 文 件 ， 并 确 保 无 任 何 文 件 的 执 行 操 作 ， 由 于 它 在 之 后 后 续 的 代 码 流 中 才 出 现 ， 因 此 就 存 在 一 种 可 利 用 的 竞 争 条 件 （ R a c e   C o n d i t i o n   ） ， 即 解 压 到 w e b 服 务 器 的 P H P 文 件 在 被 过 滤 删 除 之 前 可 被 短 暂 地 访 问 到 。 在 我 们 构 造 的 攻 击 链 中 ， 其 前 提 条 件 非 常 简 单 ， 由 于 在 目 标 资 产 w p t - v p n . s t a g e . m o z a w s . n e t 的 W e b P a g e T e s t 服 务 中 ， 执 行 T r a c e r o u t e 命 令 后 ， 我 们 可 以 获 取 到 W e b P a g e T e s t 生 成 的 一 个 有 效   t e s t   I D ， 有 了 这 个 I D 号 就 比 较 好 办 了 。 比 如 ， 我 们 在 其 中 执 行 执 行 对 h t t p s : / / g o o g l e . c o m 的 T r a c e r o u t e 命 令 ： 之 后 ， W e b P a g e T e s t 服 务 会 跳 转 到 一 个 包 含 t e s t   I D 的 性 能 测 试 结 果 U R L 页 面 去 ： h t t p : / / w p t - v p n . s t a g e . m o z a w s . n e t / r e s u l t / 1 7 1 1 2 4 _ G W _ 9 / 这 里 ， 1 7 1 1 2 4 _ G W _ 9 为 t e s t   I D 。 到 此 ， 我 们 还 差 着 1 2 7 . 0 . 0 . 1   I P 伪 造 这 一 步 ， 如 果 这 步 能 成 功 ， 就 能 有 效 访 问 到 w o r k d o n e . p h p 文 件 ， 发 起 命 令 执 行 了 。 经 过 分 析 ， 我 们 在   / w w w / c o m m o n . i n c   文 件 中 的 第 7 0 行 发 现 了 以 下 代 码 逻 辑 ： . . . ! s t r c m p ( $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ,   " 1 2 7 . 0 . 0 . 1 " ) . . . i f   ( i s s e t ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ) )   {     E x t r a c t Z i p F i l e ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ t e s t P a t h ) ;     C o m p r e s s T e x t F i l e s ( $ t e s t P a t h ) ; } / * * *   M a k e   s u r e   t h e r e   a r e   n o   r i s k y   f i l e s   i n   t h e   g i v e n   d i r e c t o r y   a n d   m a k e   e v e r y t h i n g   n o - e x e c u t e * *   @ p a r a m   m i x e d   $ p a t h * / f u n c t i o n   S e c u r e D i r ( $ p a t h )   {         $ f i l e s   =   s c a n d i r ( $ p a t h ) ;         f o r e a c h   ( $ f i l e s   a s   $ f i l e )   {                 $ f i l e p a t h   =   " $ p a t h / $ f i l e " ;                 i f   ( i s _ f i l e ( $ f i l e p a t h ) )   {                         $ p a r t s   =   p a t h i n f o ( $ f i l e ) ;                         $ e x t   =   s t r t o l o w e r ( $ p a r t s [ ' e x t e n s i o n ' ] ) ;                         i f   ( s t r p o s ( $ e x t ,   ' p h p ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' p l ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' p y ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' c g i ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' a s p ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' j s ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' r b ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' h t a c c e s s ' )   = = =   f a l s e   & &                                 s t r p o s ( $ e x t ,   ' j a r ' )   = = =   f a l s e )   {                                 @ c h m o d ( $ f i l e p a t h ,   0 6 6 6 ) ;                         }   e l s e   {                                 @ c h m o d ( $ f i l e p a t h ,   0 6 6 6 ) ;         / /   j u s t   i n   c a s e   t h e   u n l i n k   f a i l s   f o r   s o m e   r e a s o n                                 u n l i n k ( $ f i l e p a t h ) ;                         }                 }   e l s e i f   ( $ f i l e   ! =   ' . '   & &   $ f i l e   ! =   ' . . '   & &   i s _ d i r ( $ f i l e p a t h ) )   {                         S e c u r e D i r ( $ f i l e p a t h ) ;                 }         } }
从 这 个 代 码 段 中 可 以 发 现 ， 我 们 能 通 过 发 送 请 求 的 方 式 ， 把   F A S T L Y - C L I E N T - I P   请 求 头 设 置 为 1 2 7 . 0 . 0 . 1 ， 从 而 实 现 以 远 程 用 户 身 份 任 意 更 改   $ _ S E R V E R [ “ R E M O T E _ A D D R ” ] 的 I P 地 址 。 综 上 所 述 ， 我 们 可 以 设 置 两 个 B u r p   I n t r u d e r   攻 击 扩 展 来 实 现 最 终 的 服 务 端 代 码 执 行 。 其 中 一 个 B u r p   I n t r u d e r 用 来 实 现 上 传 一 个 恶 意 的 z i p 文 件 ， 另 外 一 个 B u r p   I n t r u d e r 用 来 访 问 解 压 过 后 存 在 于 目 标 系 统 中 的 p h p 文 件 。 我 们 对 上 述 竞 争 条 件 的 利 用 ， 最 大 B u r p   I n t r u d e r 线 程 数 为 2 0 0 。 但 好 在 有 高 速 请 求 插 件 T u r b o   I n t r u d e r 的 帮 助 下 ， 我 们 的 漏 洞 利 用 链 就 比 较 稳 定 了 。 最 终 ， 我 们 在 M o z i l l a   A W S 网 络 环 境 中 成 功 实 现 了 服 务 端 代 码 执 行 。 如 下 ， 我 们 在 w p t - v p n . s t a g e . m o z a w s . n e t 中 实 现 了 对 p h p i n f o ( )   的 调 用 读 取 ： i f   ( i s s e t ( $ _ S E R V E R [ " H T T P _ F A S T L Y _ C L I E N T _ I P " ] ) )     $ _ S E R V E R [ " R E M O T E _ A D D R " ]   =   $ _ S E R V E R [ " H T T P _ F A S T L Y _ C L I E N T _ I P " ] ;
现 在 ， M o z i l l a 官 方 漏 洞 公 布 网 站 B u g z i l l a 已 经 公 开 了 我 们 的 漏 洞 报 告 ， 可 以 点 此 查 看 ， 报 告 中 包 含 了 具 体 的 复 现 步 骤 、 测 试 截 图 、 P o C 代 码 和 协 调 沟 通 等 详 细 要 素 和 相 关 过 程 。 最 终 ， 我 们 获 得 了 M o z i l l a 官 方 的 $ 5 0 0 奖 励 和 致 谢 。 * 参 考 来 源 ： a s s e t n o t e ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理