搜索

[14065] 2019-05-04_利用DellKaceK1000的RCE漏洞接管Dropbox所有客户管理系统

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2019-05-04_利用DellKaceK1000的RCE漏洞接管Dropbox所有客户管理系统 利 用 D e l l   K a c e   K 1 0 0 0   的 R C E 漏 洞 接 管 D r o p b o x 所 有 客 户 管 理 系 统 c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 0 4 本 文 分 享 的 本 文 分 享 的 w r i t e u p 是 关 于 是 关 于 D e l l   K a c e   K 1 0 0 0 管 理 应 用 的 一 个 未 授 权 远 程 代 码 执 行 漏 洞 （ 管 理 应 用 的 一 个 未 授 权 远 程 代 码 执 行 漏 洞 （ R C E ） ， 作 者 于 ） ， 作 者 于 2 0 1 8 年 年 9 月 在 月 在 H a c k e r O n e 和 厂 商 和 厂 商 D r o p b o x 共 同 举 办 的 共 同 举 办 的 H 1 - 3 1 2 0 黑 客 马 拉 松 大 赛 中 黑 客 马 拉 松 大 赛 中 发 现 了 该 漏 洞 ， 漏 洞 的 发 现 和 利 用 过 程 相 对 简 单 ， 但 前 期 的 侦 查 踩 点 过 程 却 颇 费 心 思 。 最 终 凭 借 该 漏 洞 ， 作 者 获 得 了 发 现 了 该 漏 洞 ， 漏 洞 的 发 现 和 利 用 过 程 相 对 简 单 ， 但 前 期 的 侦 查 踩 点 过 程 却 颇 费 心 思 。 最 终 凭 借 该 漏 洞 ， 作 者 获 得 了 H 1 - 3 1 2 0 大 赛 的 大 赛 的 “ 最 具 价 值 黑 客 最 具 价 值 黑 客 ” 荣 誉 （ 荣 誉 （ M V H ） ， 并 囊 获 了 一 笔 不 ） ， 并 囊 获 了 一 笔 不 菲 赏 金 。 菲 赏 金 。 漏 洞 简 介 漏 洞 简 介 漏 洞 影 响   D e l l   K a c e   K 1 0 0 0   v 6 . 4 . 1 2 0 7 5 6 之 前 版 本 的 应 用 程 序 ， 由 于 程 序 中 的 e s c a p e s h e l l a r g 方 法 函 数 存 在 可 绕 过 隐 患 （ B y p a s s ） ， 最 终 ， 可 以 利 用 该 隐 患 在 K 1 0 0 0 应 用 中 实 现 未 授 权 的 远 程 代 码 执 行 。 因 为 测 试 厂 商 D r o p b o x 用 K 1 0 0 0   v 6 . 3 来 管 理 其 大 量 的 客 户 服 务 端 ， 所 以 理 论 上 来 说 ， 可 以 利 用 该 漏 洞 在 所 有 D r o p b o x 客 户 管 理 系 统 上 实 现 R C E 攻 击 。 D e l l 在 内 部 修 复 中 把 该 漏 洞 编 号 为 K 1 - 1 8 6 5 2 ， 所 以 在 此 我 们 暂 且 也 把 该 漏 洞 称 为 K 1 - 1 8 6 5 2 。 e s c a p e s h e l l a r g ： 把 字 符 串 转 码 为 可 以 在   s h e l l   命 令 里 使 用 的 参 数 ， e s c a p e s h e l l a r g   (   s t r i n g   $ a r g   )   :   s t r i n g ， 功 能 是 将 字 符 串 $ a r g 增 加 一 个 单 引 号 并 且 能 引 用 或 者 转 码 任 何 已 经 存 在 的 单 引 号 ， 这 样 以 确 保 能 够 直 接 将 一 个 字 符 串 传 入   s h e l l   函 数 ， 以 实 现 安 全 的 转 义 输 出 。 （ P H P   -   e s c a p e s h e l l a r g ） 前 期 踩 点 非 常 关 键 ！ 在 H 1 - 3 1 2 0 比 赛 现 场 ， 针 对 测 试 厂 商 D r o p b o x 提 供 的 目 标 系 统 ， 我 发 现 了 其 中 一 个 D e l l   K a c e   K 1 0 0 0   管 理 系 统 的 登 录 界 面 ： 于 是 ， 我 就 对 D e l l   K a c e   K 1 0 0 0 进 行 了 信 息 收 集 ， 该 系 统 此 前 为 D e l l 旗 下 产 品 ， 现 为 Q u e s t   S o f t w a r e   I n c 公 司 拥 有 。 这 里 有 意 思 的 是 ， Q u e s t 同 时 在 其 官 网 上 提 供 了 K a c e   K 1 0 0 0 的 试 用 版 应 用 程 序 ， 但 是 ， 试 用 版 应 用 只 是 最 新 的 v 9 . 0 . 2 7 0 ， 与 比 赛 现 场 在 D r o p b o x 环 境 中 发 现 的 版 本 完 全 不 一 样 ：
在 比 赛 现 场 给 出 的 测 试 目 标 中 ， D r o p b o x 目 标 系 统 中 的 K a c e   K 1 0 0 0 为 v 6 . 3 . 1 1 3 3 9 7 版 本 ： 所 以 ， 这 样 来 看 ， 在 K a c e   K 1 0 0 0 的 最 新 版 本 和 现 场 目 标 测 试 版 本 中 ， 至 少 存 在 三 个 版 本 的 间 隔 迭 代 。 为 此 ， 我 还 用 了 社 工 手 段 ， 请 求 Q u e s t 客 户 支 持 中 心 是 否 能 为 我 提 供 K a c e   K 1 0 0 0 的 v 6 版 本 程 序 ， 但 是 ， 最 终 却 没 有 成 功 ， 可 见 我 不 是 一 个 高 明 的 社 工 黑 客 。 。 。 前 期 踩 点 非 常 关 键 ！ ！ 起 初 ， 我 觉 得 K a c e   K 1 0 0 0 的 现 场 目 标 测 试 版 本 和 Q u e s t 官 网 提 供 的 最 新 版 本 之 间 差 异 肯 定 很 大 ， 因 为 这 种 大 版 本 迭 代 一 定 存 在 很 多 的 代 码 改 动 ， 但 之 后 ， 我 还 是 决 定 在 Q u e s t 官 网 提 供 的 v 9 最 新 版 本 身 上 做 一 些 测 试 ， 看 看 它 是 否 适 用 于 v 6 的 现 场 测 试 版 本 。 于 是 ， 我 在 测 试 环 境 中 安 装 了 K a c e   K 1 0 0 0   v 9 程 序 ， 准 备 进 行 一 些 分 析 。 但 老 实 说 ， 刚 开 始 ， 我 并 不 抱 太 大 希 望 。 但 最 终 事 实 证 明 ， 我 还 是 太 武 断 了 。 前 期 踩 点 非 常 关 键 ！ ！ ！ 在 安 装 了 K a c e   K 1 0 0 0   v 9 程 序 的 分 析 环 境 中 ， 当 对 其 源 码 进 行 分 析 时 ， 我 发 现 了 一 个 有 意 思 的 文 件   -   / s e r v i c e / k r a s h r p t . p h p ， 它 可 以 无 需 授 权 验 证 就 能 访 问 ， 是 专 门 用 来 处 理 崩 溃 的 转 储 文 件 的 。 仔 细 分 析 该 文 件 ， 其 中 存 在 与 漏 洞 K 1 - 1 8 6 5 2 相 关 的 隐 患 点 。 代 码 逻 辑 中 ， 为 了 防 止 目 录 遍 历 ， 采 用 b a s e n a m e ( ) 方 法 返 回 参 数 k u i d   和   n a m e 中 的 文 件 名 部 分 ， $ v a l u e s 为 用 户 端 通 过 G E T 或 P O S T 提 交 的 参 数 引 用 。 如 下 ： 参 数   k u i d   和   n a m e 则 用 于 后 续 的 一 个 z i p 文 件 生 成 过 程 ， 如 下 ： 然 而 ， 漏 洞 K 1 - 1 8 6 5 2 隐 患 处 不 仅 引 入 了 防 止 目 录 遍 历 问 题 的 b a s e n a m e 方 法 ， 另 外 ， 由 于 存 在 $ t m p D i r   和   $ z i p F n 字 符 串 ， 所 以 ， 它 还 采 用 了 两 个 e s c a p e s h e l l a r g 函 数 调 用 以 防 止 任 意 代 码 注 入 。 如 下 ： 早 前 有 案 例 分 析 ， 由 于   e s c a p e s h e l l a r g   函 数 会 在 字 符 串 外 部 添 加 单 引 号 进 行 包 裹 ， 攻 击 者 经 过 输 入 构 造 ， 可 造 成 绕 过 漏 洞 。 而 这 里 的 $ k u i d   和   $ n a m e 参 数 在 取 值 时 就 存 在 单 引 号 形 式   -   ' k u i d '   和 ‘ n a m e ’ ， 所 以 看 似 存 在 绕 过 风 险 ， 但 经 过 测 试 ， 绕 过 是 不 可 行 的 。 也 就 是 说 ， D e l l   K a c e   K 1 0 0 0   v 9 程 序 在 此 处 是 安 全 的 。 敢 于 猜 测 尝 试 ！ ！ ！ 这 样 来 看 ， 即 使 D e l l   K a c e   K 1 0 0 0   v 9 版 本 程 序 采 用 了 看 似 不 安 全 的 e s c a p e s h e l l a r g   函 数 调 用 ， 但 它 在 其 中 已 进 行 过 安 全 修 复 。 基 于 早 前 的 e s c a p e s h e l l a r g 绕 过 隐 患 分 析 ， 而 对 于 现 场 目 标 系 统 的 D e l l K a c e   K 1 0 0 0   v 6 版 本 我 仍 不 确 定 是 否 存 在 此 隐 患 。 但 出 于 好 奇 ， 我 还 是 针 对 v 6 版 本 程 序 ， 假 设 其 中 存 在 e s c a p e s h e l l a r g   函 数 绕 过 隐 患 ， 最 终 编 写 出 了 以 下 R C E 攻 击 方 式 的 e x p l o i t 对 其 进 行 了 测 试 ： e x p l o i t 中 提 交 的 P O S T 请 求 如 下 ： 也 就 是 ， 我 从 本 机 系 统 中 提 交 了 上 述 e x p l o i t 生 成 的 P O S T 请 求 到 部 署 有 D e l l   K a c e   K 1 0 0 0   v 6 版 本 应 用 的 目 标 系 统 中 ， 之 后 ， 成 功 远 程 执 行 了 一 条 l i n u x 的 i d 命 令 ， 如 下 ： 太 棒 了 ， 成 功 了 ！ 漏 洞 实 质 影 响 是 可 以 用 它 来 执 行 任 意 代 码 ， 实 现 R C E ， 由 于 测 试 厂 商 D r o p b o x 使 用 了 D e l l   K a c e   K 1 0 0 0   v 6 . 3 作 为 客 户 服 务 端 管 理 ， 所 以 ， 可 以 说 D r o p b o x 的 所 有 客 户 服 务 端 管 理 系 统 都 就 此 沦 陷 了 。 漏 洞 修 复 漏 洞 修 复 H 1 - 3 1 2 0 比 赛 现 场 上 报 漏 洞 后 ， 我 凭 借 该 漏 洞 获 得 了 M V H 荣 誉 和 一 笔 不 菲 赏 金 。 此 后 ， 我 联 系   Q u e s t   咨 询 漏 洞 修 复 情 况 ， 但   Q u e s t   告 知 我 漏 洞 转 给 了 D e l l 方 面 进 行 了 修 复 。 此 后 ， Q u e s t 告 知 我 漏 洞 已 经 在 D e l l   K a c e   K 1 0 0 0   v   6 . 4 （ 6 . 4 . 1 2 0 8 2 2 ） 版 本 中 得 到 了 修 复 。 但 是 ， 我 却 没 找 到 任 何 公 开 的 漏 洞 披 露 和 修 复 公 告 ， 也 就 是 说 ， D e l l 是 偷 偷 地 修 复 了 该 漏 洞 。 总 结 总 结 当 你 发 现 目 标 系 统 运 行 有 某 个 应 用 后 ， 可 以 考 虑 针 对 该 应 用 搭 建 一 个 本 地 测 试 环 境 进 行 进 一 步 的 深 入 分 析 。 对 我 来 说 ， 这 种 方 法 还 是 比 较 有 效 的 。 最 后 ， 还 是 要 感 谢 D r o p b o x 奖 励 的 好 大 一 笔 赏 金 ！ * 参 考 来 源 ： 参 考 来 源 ： r c e s e c u r i t y ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 X - D e l l K A C E - A p p l i a n c e :   k 1 0 0 0 X - D e l l K A C E - H o s t :   r e d a c t e d . c o m X - D e l l K A C E - V e r s i o n :   6 . 3 . 1 1 3 3 9 7 X - K B O X - W e b S e r v e r :   r e d a c t e d . c o m X - K B O X - V e r s i o n :   6 . 3 . 1 1 3 3 9 7 t r y   {         / /   K 1 - 1 8 6 5 2   m a k e   s u r e   w e   e s c a p e   n a m e s   s o   w e   d o n ' t   g e t   e x t r a   p a t h   c h a r a c t e r s   t o   d o   p a t h   t r a v e r s a l         $ k u i d   =   b a s e n a m e ( $ v a l u e s [ ' k u i d ' ] ) ;         $ n a m e   =   b a s e n a m e ( $ v a l u e s [ ' n a m e ' ] ) ; }   c a t c h (   E x c e p t i o n   $ e   )   {         K B L o g (   " M i s s i n g   U R L   p a r a m :   "   .   $ e - > g e t M e s s a g e ( )   ) ;         e x i t ( ) ; } $ t m p F n B a s e   =   " k r a s h _ { $ n a m e } _ { $ k u i d } " ; $ t m p D i r   =   t e m p n a m (   K B _ U P L O A D _ D I R ,   $ t m p F n B a s e   ) ; u n l i n k (   $ t m p D i r   ) ; $ z i p F n   =   $ t m p D i r   .   " . z i p " ; / /   u n z i p   t h e   a r c h i v e   t o   a   t m p D i r ,   a n d   d e l e t e   t h e   . z i p   f i l e / /   K 1 - 1 8 6 5 2   E s c a p e   t h e   s h e l l   a r g u m e n t s   t o   a v o i d   r e m o t e   e x e c u t i o n   f r o m   i n p u t s e x e c (   " / u s r / l o c a l / b i n / u n z i p   - d   "   .   e s c a p e s h e l l a r g ( $ t m p D i r )   .   # ! / u s r / b i n / p y t h o n #   E x p l o i t   T i t l e :   D e l l   K A C E   S y s t e m s   M a n a g e m e n t   A p p l i a n c e   ( K 1 0 0 0 )   < =   6 . 4 . 1 2 0 7 5 6   U n a u t h e n t i c a t e d   R C E #   V e r s i o n :               < =   6 . 4 . 1 2 0 7 5 6 #   D a t e :                     2 0 1 9 - 0 4 - 0 9 #   A u t h o r :                 J u l i e n   A h r e n s   ( P O S T   / s e r v i c e / k r a s h r p t . p h p   H T T P / 1 . 1 H o s t :   r e d a c t e d . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 0 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 ,
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理