搜索

[16638] 2021-04-05_戴尔OMSA文件读取漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-04-05_戴尔OMSA文件读取漏洞分析 戴 尔 O M S A 文 件 读 取 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 4 - 0 5 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 们 将 讨 论 我 们 在 内 部 网 络 渗 透 测 试 期 间 在 戴 尔 O p e n M a n a g e   S e r v e r   A d m i n i s t r a t o r （ O M S A ） 中 发 现 的 一 个 文 件 读 取 漏 洞 ， 漏 洞 编 号 为 C V E - 2 0 2 0 - 5 3 7 7 ， 以 及 一 个 针 对 C V E - 2 0 2 1 - 2 1 5 1 4 漏 洞 修 复 程 序 的 绕 过 方 案 。 根 据 研 究 人 员 的 分 析 ， 结 合 该 漏 洞 以 及 身 份 认 证 绕 过 ， 未 经 身 份 验 证 的 用 户 将 能 够 实 现 任 意 文 件 读 取 ， 受 该 漏 洞 影 响 的 O M S A 版 本 为 9 . 4 . 0 . 0 和 9 . 4 . 0 . 2 。 除 此 之 外 ， 在 发 现 这 些 漏 洞 的 过 程 中 ， 我 们 还 发 现 曾 在 2 0 1 6 年 披 露 的 一 个 任 意 文 件 读 取 漏 洞 仍 然 存 在 于 O M S A 的 最 新 版 本 中 ， 也 有 可 能 是 因 为 这 个 漏 洞 从 来 没 有 被 修 复 过 。 目 前 ， 研 究 人 员 已 将 漏 洞 信 息 上 报 给 了 戴 尔 公 司 ， 但 戴 尔 方 面 表 示 ， 这 是 应 用 程 序 的 预 期 功 能 ， 并 且 不 会 修 复 该 问 题 。 O p e n M a n a g e   S e r v e r   A d m i n i s t r a t o r （ （ O M S A ） 是 什 么 ？ ） 是 什 么 ？ 根 据 根 据 O M S A 的 官 方 文 档 描 述 ： 的 官 方 文 档 描 述 ： “ O p e n M a n a g e   S e r v e r   A d m i n i s t r a t o r （ O M S A ） 是 一 个 软 件 代 理 ， 它 通 过 两 种 方 式 提 供 全 面 的 一 对 一 系 统 管 理 解 决 方 案 ： 即 基 于 W e b 浏 览 器 的 图 形 用 户 接 口 ， 以 及 操 作 系 统 端 的 命 令 行 接 口 。 ” 换 句 话 说 ， O M S A 可 以 帮 助 开 发 人 员 对 安 装 了 O M S A 的 服 务 器 进 行 中 央 监 控 。 O M S A 还 支 持 通 过 中 央 W e b 接 口 和 分 布 式 W e b 服 务 器 （ D W S ） ， 以 及 “ 管 理 系 统 登 录 ” 功 能 来 管 理 远 程 系 统 。 O M S A 中 的 身 份 认 证 绕 过 中 的 身 份 认 证 绕 过 为 了 简 要 概 述 绕 过 身 份 验 证 的 工 作 方 式 ， O M S A 提 供 了 使 用 中 央 服 务 器 登 录 远 程 系 统 的 功 能 ， 以 便 利 用 分 布 式 W e b 服 务 器 （ D W S ） 并 通 过 单 个 W e b 界 面 对 远 程 系 统 进 行 管 理 。 默 认 配 置 下 系 统 会 自 动 启 用 该 功 能 。 接 下 来 ， 我 们 就 可 以 通 过 托 管 一 个 恶 意 远 程 节 点 来 绕 过 身 份 验 证 ， 该 节 点 响 应 来 自 O M S A 服 务 器 的 身 份 验 证 请 求 并 验 证 登 录 ， 从 而 导 致 O M S A 服 务 器 为 用 户 发 出 一 个 W e b 会 话 。 这 个 W e b 会 话 仅 用 于 在 集 中 式 W e b 界 面 中 呈 现 来 自 远 程 节 点 的 内 容 。 但 是 ， 我 们 发 现 在 O M S A 的 9 . 4 . 0 . 0 和 9 . 4 . 0 . 2 版 本 中 ， 此 会 话 将 允 许 用 户 对 底 层 A P I 进 行 特 权 访 问 。 下 图 显 示 的 是 设 置 界 面 中 管 理 系 统 登 录 功 能 的 开 启 和 关 闭 ： 下 图 显 示 的 是 O M S A 身 份 认 证 绕 过 步 骤 的 流 程 图 ：
在 第 四 步 中 ， 服 务 器 会 发 送 一 个 J S E S S I O N I D   c o o k i e 和 一 个 V I D ， 并 授 权 一 个 特 权 会 话 发 送 给 O M S A   W e b 接 口 ， 接 下 来 我 们 就 可 以 用 它 直 接 向 O M S A 服 务 器 发 出 后 续 的 特 权 A P I 请 求 。 文 件 读 取 漏 洞 细 节 文 件 读 取 漏 洞 细 节 O M S A   W e b 接 口 使 用 的 是 A p a c h e   T o m c a t ， 通 过 分 析 w e b . x m l ， 我 们 会 发 现 身 份 认 证 s e r v l e t 会 暴 露 在 / D o w n l o a d S e r v l e t ： 反 编 译 O M S A . j a r 文 件 并 分 析 类 文 件 后 ， 我 们 发 现 了 一 个 明 显 的 文 件 读 取 漏 洞 ： < s e r v l e t > < s e r v l e t - n a m e > D o w n l o a d S e r v l e t < / s e r v l e t - n a m e > < s e r v l e t - c l a s s > c o m . d e l l . o m a . s e r v l e t . s e c u r e . D o w n l o a d S e r v l e t < / s e r v l e t - c l a s s > < / s e r v l e t > s t r i n g   s t r 1   =   p a r a m H t t p S e r v l e t R e q u e s t . g e t P a r a m e t e r ( " f i l e " ) ; < S N I P   - - - - - > F i l e   f i l e   =   n e w   F i l e ( s t r 1 ) ;         i f   ( f a l s e   = =   o M A W P U t i l . c h e c k U s e r R i g h t s ( p a r a m H t t p S e r v l e t R e q u e s t ,   7 ) )   {             S t r i n g   s t r 4   =   f i l e . g e t C a n o n i c a l P a t h ( ) ;             S t r i n g   s t r 5   =   " a p a c h e - t o m c a t "   +   F i l e . s e p a r a t o r   +   " t e m p " ;             O M A L o g g i n g . g e t I n s t a n c e ( ) . w r i t e ( 9 ,   " D o w n l o a d S e r v l e t   :   C a n o n i c a l   p a t h   : "   +   s t r 4 ) ;             i f   ( ! s t r 4 . c o n t a i n s ( s t r 5 ) )   {                 O M A L o g g i n g . g e t I n s t a n c e ( ) . w r i t e ( 9 ,   " D o w n l o a d S e r v l e t   :   a c c e s s   d e n i e d   t o   f i l e   : "   +   s t r 1 ) ;                 r e t u r n ;             }         } < S N I P - - - >         F i l e I n p u t S t r e a m   f i l e I n p u t S t r e a m   =   n u l l ;         S t r i n g   s t r 3   =   g e t S e r v l e t C o n t e x t ( ) . g e t M i m e T y p e ( s t r 1 ) ;         p a r a m H t t p S e r v l e t R e s p o n s e . s e t C o n t e n t T y p e ( s t r 3 ) ;         p a r a m H t t p S e r v l e t R e s p o n s e . s e t H e a d e r ( " C o n t e n t - D i s p o s i t i o n " ,   " a t t a c h m e n t ;   f i l e n a m e = " "   +   s t r 2   +   " " ; " ) ;         p a r a m H t t p S e r v l e t R e s p o n s e . s e t C o n t e n t L e n g t h ( ( i n t ) f i l e . l e n g t h ( ) ) ;         S e r v l e t O u t p u t S t r e a m   s e r v l e t O u t p u t S t r e a m   =   p a r a m H t t p S e r v l e t R e s p o n s e . g e t O u t p u t S t r e a m ( ) ;         t r y   {             f i l e I n p u t S t r e a m   =   n e w   F i l e I n p u t S t r e a m ( s t r 1 ) ;             i n t   j   =   0 ;
我 们 可 以 看 到 ， “ f i l e ” 这 个 G E T 参 数 被 设 置 为 了 “ s t r 1 ” ， 并 被 传 递 给 了 F i l e I n p u t S t r e a m ， 然 后 读 取 进 了 应 用 程 序 的 响 应 之 中 。 这 里 唯 一 的 检 测 就 是 我 们 W e b 会 话 的 “ 用 户 权 限 ” 为 “ 7 ” ， 这 也 是 通 过 身 份 认 证 绕 过 获 取 到 的 会 话 所 满 足 的 条 件 ， 这 将 允 许 我 们 在 目 标 文 件 系 统 上 读 取 任 何 我 们 想 要 的 路 径 。 存 在 漏 洞 的 请 求 如 下 ： 存 在 漏 洞 的 请 求 如 下 ： 戴 尔 漏 洞 戴 尔 漏 洞 C V E - 2 0 2 1 - 2 1 5 1 4 ： ： 安 全 过 滤 器 绕 过 安 全 过 滤 器 绕 过 C V E - 2 0 2 0 - 5 3 7 7 漏 洞 修 复 后 ， 开 发 人 员 引 入 了 一 个 安 全 过 滤 器 ， 目 的 就 是 为 了 保 护 D o w n l o a d S e r v l e t 这 个 s e r v l e t 免 受 任 意 文 件 读 取 漏 洞 的 影 响 ， 但 并 没 有 什 么 效 果 。 调 用 D o w n l o a d S e r v l e t 时 ， 程 序 会 使 用 过 滤 器 查 找 传 递 到 D o w n l o a d S e r v l e t 的 恶 意 路 径 ， 恶 意 请 求 将 会 被 拒 绝 。 过 滤 器 如 下 ： 相 关 的 反 编 译 类 代 码 段 如 下 ：             w h i l e   ( ( j   =   f i l e I n p u t S t r e a m . r e a d ( ) )   ! =   - 1 )                 s e r v l e t O u t p u t S t r e a m . w r i t e ( j ) ; } h t t p s : / / o m s a . s e r v e r / { V I D } / D o w n l o a d S e r v l e t ? h e l p = C e r t i f i c a t e & a p p = o m a & v i d = { V I D } & f i l e = C : s o m e f i l e < f i l t e r - n a m e > P a t h M a n i p u l a t i o n F i l t e r < / f i l t e r - n a m e > < f i l t e r - c l a s s > s e c u r i t y . w e b . P a t h M a n i p u l a t i o n F i l t e r < / f i l t e r - c l a s s > p u b l i c   s t a t i c   b o o l e a n   i s F i l e H a n d l e r R e q u e s t ( S t r i n g   p a r a m S t r i n g )   {         b o o l e a n   b o o l   =   f a l s e ;         S e t < S t r i n g >   s e t   =   a . k e y S e t ( ) ;         I t e r a t o r < S t r i n g >   i t e r a t o r   =   s e t . i t e r a t o r ( ) ;         S t r i n g   s t r   =   n u l l ;         w h i l e   ( i t e r a t o r . h a s N e x t ( ) )   {             s t r   =   i t e r a t o r . n e x t ( ) ;             i f   ( S t r i n g U t i l . t r i m ( p a r a m S t r i n g ) . c o n t a i n s ( s t r ) )   {                 b o o l   =   t r u e ;                 b r e a k ;             }         }         r e t u r n   b o o l ;     } < S N I P >   s t a t i c   {         a   =   n e w   H a s h M a p < > ( ) ;         H a s h M a p < O b j e c t ,   O b j e c t >   h a s h M a p 1   =   n e w   H a s h M a p < > ( ) ;         h a s h M a p 1 . p u t ( " f i l e _ 1 " ,   " o m a _ d + . ( l o g | h t m l | z i p ) $ " ) ;         h a s h M a p 1 . p u t ( " f i l e _ 2 " ,   " . * ( . c e r | . C E R ) $ " ) ;
上 面 的 代 码 显 示 了 过 滤 器 代 码 的 一 个 片 段 ， 每 个 请 求 的 U R L 都 会 被 传 递 给 i s F i l e H a n d l e r R e q u e s t 方 法 ， 以 测 试 U R L 是 否 包 含 H a s h M a p   “ a ” 中 列 出 的 任 何 字 符 串 。 由 于 “ a ” 只 包 含 文 本 字 符 串 ， 因 此 不 用 考 虑 任 何 类 型 的 编 码 。 只 需 对 U R L 路 径 的 一 部 分 进 行 U R L 编 码 ， 即 可 完 全 绕 过 此 过 滤 器 ， 从 而 导 致 i s F i l e H a n d l e r R e q u e s t 方 法 返 回 f a l s e 。 现 在 的 现 在 的 U R L 如 下 ： 如 下 ： 其 中 的 t 被 U R L 编 码 后 为 % 7 4 ， 请 求 将 成 功 。 漏 洞 概 念 验 证 漏 洞 概 念 验 证 P o C 为 了 验 证 漏 洞 的 有 效 性 ， 我 们 创 建 了 一 个 漏 洞 利 用 P o C ， 其 中 包 含 一 个 有 效 的 会 话 C o o k i e ， 并 且 可 以 使 用 这 个 会 话 从 服 务 器 端 读 取 一 个 文 件 。 演 示 演 示 G i f 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 漏 洞 缓 解 漏 洞 缓 解 为 此 ， 戴 尔 还 是 发 布 了 一 个 漏 洞 修 复 方 案 。 但 是 ， 他 们 确 定 使 用 远 程 管 理 登 录 绕 过 身 份 验 证 是 预 期 的 功 能 。 这 也 就 意 味 着 ， 即 使 在 安 装 了 修 复 补 丁 之 后 ， 我 们 仍 然 可 以 使 用 本 文 所 介 绍 的 身 份 认 证 人 绕 过 漏 洞 来 获 得 A P I 的 有 效 会 话 c o o k i e 。 如 果 你 不 需 要 使 用 远 程 管 理 登 录 功 能 的 话 ， 则 应 该 禁 用 该 功 能 以 消 除 相 关 攻 击 面 。 我 们 可 以 通 过 以 下 步 骤 禁 用 托 管 系 统 登 录 功 能 ： 在 登 录 屏 幕 上 ， 单 击 “ 管 理 W e b 服 务 器 ” ； 使 用 系 统 管 理 员 凭 据 进 行 登 录 ； 单 击 “ 首 选 项 ” ； 将 “ 管 理 系 统 登 录 ” 切 换 为 “ 禁 用 ” ； 总 结 总 结 利 用 这 种 身 份 认 证 绕 过 技 术 ， 将 为 我 们 提 供 很 多 的 可 能 性 ， 比 如 说 利 用 A P I 来 实 现 一 些 恶 意 操 作 等 等 ， 例 如 本 文 所 介 绍 的 任 意 文 件 读 取 。 一 旦 获 得 了 有 效 的 会 话 c o o k i e ， 就 可 以 访 问 其 他 危 险 的 功 能 。 因 此 ， 如 果 您 不 使 用 O M S A   W e b 界 面 访 问 远 程 系 统 ， 我 们 强 烈 建 议 您 禁 用 “ 托 管 系 统 登 录 ” 功 能 。 如 果 您 根 本 不 使 用 O M S A ， 则 应 完 全 卸 载 或 禁 用 该 服 务 。 如 果 它 正 在 使 用 中 ， 当 然 ， 我 们 建 议 广 大 用 户 保 持 运 行 O M S A 的 最 新 版 本 ， 或 安 装 最 新 的 漏 洞 修 复 补 丁 。         a . p u t ( " D o w n l o a d S e r v l e t " ,   h a s h M a p 1 ) ;         H a s h M a p < O b j e c t ,   O b j e c t >   h a s h M a p 2   =   n e w   H a s h M a p < > ( ) ;         h a s h M a p 2 . p u t ( " f i l e _ 1 " ,   " . * " ) ;         a . p u t ( " U p l o a d S e r v l e t " ,   h a s h M a p 2 ) ;         H a s h M a p < O b j e c t ,   O b j e c t >   h a s h M a p 3   =   n e w   H a s h M a p < > ( ) ;         h a s h M a p 3 . p u t ( " f i l e _ 1 " ,   " . * " ) ;         a . p u t ( " U p l o a d C e r t S e r v l e t " ,   h a s h M a p 3 ) ;         H a s h M a p < O b j e c t ,   O b j e c t >   h a s h M a p 4   =   n e w   H a s h M a p < > ( ) ;         h a s h M a p 4 . p u t ( " p a t h _ 1 " ,   " ( | / ) ( o m a | u p l o a d ) ( | / ) d + " ) ;         h a s h M a p 4 . p u t ( " p a t h _ 2 " ,   " ( | / ) t e m p " ) ;         a . p u t ( " V i e w F i l e " ,   h a s h M a p 4 ) ;     } h t t p s : / / o m s a . s e r v e r / { V I D } / D o w n l o a d S e r v l e % 7 4 ? h e l p = C e r t i f i c a t e & a p p = o m a & v i d = { V I D } & f i l e = C : s o m e f i l e
精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理