搜索

[21500] 2020-12-14_WebLogiconeGETrequestRCE分析（CVE-2020-14882+CVE-2020-14883）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-12-14_WebLogiconeGETrequestRCE分析（CVE-2020-14882+CVE-2020-14883） W e b L o g i c   o n e   G E T   r e q u e s t   R C E 分 析 （ C V E - 2 0 2 0 - 1 4 8 8 2 + C V E - 2 0 2 0 - 1 4 8 8 3 ） 转 自   安 全 先 师   L e m o n S e c   2 0 2 0 - 1 2 - 1 4 这 个 漏 洞 想 要 挖 掘 出 来 真 的 挺 难 的 ， 其 利 用 的 过 程 相 当 精 彩 ， 值 得 学 习 。 这 个 漏 洞 想 要 挖 掘 出 来 真 的 挺 难 的 ， 其 利 用 的 过 程 相 当 精 彩 ， 值 得 学 习 。 0 x 0 1   漏 洞 概 述 漏 洞 概 述 W e b l o g i c 官 方 在 1 0 月 补 丁 中 修 复 了 及 两 个 漏 洞 ， 这 两 个 漏 洞 都 位 于 及 控 制 台 组 件 中 ， 两 个 漏 洞 组 合 利 用 允 许 远 程 攻 击 者 通 过 进 行 网 络 请 求 ， 从 而 攻 击 W e b l o g i c 服 务 器 ， 最 终 远 程 攻 击 者 可 以 利 用 该 漏 洞 在 未 授 权 的 情 况 下 完 全 接 管 W e b l o g i c 服 务 器 。 在 经 过 d i f f 后 ， 可 以 定 位 到 漏 洞 触 发 点 ： 这 里 先 把 结 论 放 出 来 ： C V E - 2 0 2 0 - 1 4 8 8 2 ： 这 个 漏 洞 起 到 的 作 用 可 以 简 单 理 解 为 目 录 穿 越 使 渲 染 后 台 页 面 C V E - 2 0 2 0 - 1 4 8 8 3 ： 为 登 录 后 的 一 处 代 码 执 行 点 C V E - 2 0 2 0 - 1 4 8 8 2 C V E - 2 0 2 0 - 1 4 8 8 3 W e b l o g i c   C o n s o l e h t t p C V E - 2 0 2 0 - 1 4 8 8 3 : c o m . b e a . c o n s o l e . h a n d l e s . H a n d l e F a c t o r y C V E - 2 0 2 0 - 1 4 8 8 2 : c o m . b e a . c o n s o l e . u t i l s . M B e a n U t i l s I n i t S i n g l e F i l e S e r v l e t N e t u i x
0 x 0 2   漏 洞 分 析 漏 洞 分 析 该 漏 洞 分 为 三 部 分 ： 路 由 鉴 权 N e t u i x 框 架 完 成 执 行 流 转 换 H a n d l e F a c t o r y 完 成 代 码 执 行 前 两 部 分 为 ， 后 面 一 部 分 为 。 本 文 将 从 上 而 下 将 三 部 分 进 行 串 流 分 析 ， 主 要 采 用 动 态 跟 踪 。 2 . 1   路 由 鉴 权 在 具 体 分 析 路 由 鉴 权 前 ， 需 要 先 要 寻 找 一 下 处 理 路 由 的 s e r v l e t 是 哪 个 。 2 . 1 . 1   寻 找 处 理 路 由 的 s e r v l e t W e b l o g i c 组 件 对 应 着 W e b l o g i c   S e r v e r 启 动 后 的 管 理 平 台 （ 即 路 由 所 对 应 的 组 件 ） ， 其 对 应 着 一 个 ， 所 以 想 要 理 清 路 由 所 对 应 的 映 射 关 系 ， 就 需 要 去 看 一 下 相 关 的 配 置 文 件 。 配 置 文 件 为 。 正 常 登 录 后 的 路 由 情 况 为 ： 会 访 问 一 个 文 件 ， 对 应 在 中 看 一 下 相 关 的 路 由 处 理 情 况 ： C V E - 2 0 2 0 - 1 4 8 8 2 C V E - 2 0 2 0 - 1 4 8 8 3 c o n s o l e / c o n s o l e w e b a p p s e r v l e t w l s e r v e r / s e r v e r / l i b / c o n s o l e a p p / w e b a p p / W E B - I N F / w e b . x m l c o n s o l e . p o r t a l w e b . x m l
可 以 看 到 对 应 的 为 ： 所 以 先 在 下 断 调 试 一 下 路 径 鉴 权 或 者 说 是 权 限 鉴 定 的 流 程 。 跟 进 一 下 初 始 化 流 程 ： s e r v l e t A p p M a n a g e r S e r v l e t A p p M a n a g e r S e r v l e t w e b l o g i c . s e r v l e t . A s y n c I n i t S e r v l e t # i n i t   - > w e b l o g i c . s e r v l e t . A s y n c I n i t S e r v l e t # i n i t D e l e g a t e   - > w e b l o g i c . s e r v l e t . A s y n c I n i t S e r v l e t # c r e a t e D e l e g a t e
这 里 的 也 就 是 x m l 中 的 ： 所 以 初 始 化 过 程 实 际 上 是 实 例 化 了 ， 并 调 用 其 方 法 ， 跟 进 看 一 下 其 所 对 应 的 处 理 方 法 ： 注 意 红 框 所 标 识 的 内 容 ， o r a c l e 针 对 t h i s . S E R V L E T _ C L A S S _ N A M E c o m . b e a . c o n s o l e . u t i l s . M B e a n U t i l s I n i t S i n g l e F i l e S e r v l e t i n i t ( ) C V E - 2 0 2 0 - 1 4 8 8 2
的 修 补 也 是 在 这 里 针 对 加 了 一 个 黑 名 单 ， 并 过 了 一 遍 黑 名 单 ： 继 续 跟 进 父 类 的 中 ： 在 完 成 初 始 化 后 ， 即 进 入 真 的 处 理 请 求 的 ： u r l S i n g l e F i l e S e r v l e t s e r v e r A p p C o n t e x t U I S e r v l e t
在 此 处 完 成 后 续 的 请 求 处 理 。 2 . 1 . 2   路 由 映 射 及 路 由 权 限 校 验 在 这 里 我 们 先 不 向 后 跟 进 ， 在 此 处 下 个 断 点 向 上 跟 踪 一 下 ， 看 一 下 W e b l o g i c 路 由 映 射 及 路 由 鉴 权 在 哪 里 触 发 。 调 用 栈 如 下 ： 可 以 看 到 在 中 完 成 的 权 限 校 验 。 跟 进 具 体 看 一 下 ： w e b l o g i c . s e r v l e t . i n t e r n a l . W e b A p p S e r v l e t C o n t e x t
在 方 法 的 流 程 中 会 调 用 方 法 来 进 行 权 限 校 验 ， 跟 进 看 一 下 ： 当 首 次 请 求 进 入 后 变 量 为 ， 所 以 跟 进 方 法 ： 这 里 的 中 保 存 着 一 份 路 由 表 ： w e b l o g i c . s e r v l e t . i n t e r n a l . W e b A p p S e r v l e t C o n t e x t # d o S e c u r e d E x e c u t e c h e c k A c c e s s c h e c k A l l R e s o u r c e s f a l s e g e t C o n s t r a i n t c o n s t r a i n t s M a p
这 份 路 由 表 对 应 的 是 中 的 ： w e b . x m l s e c u r i t y - c o n s t r a i n t
注 意 在 针 对 的 路 由 处 理 是 限 定 了 需 要 经 过 认 证 的 ， 而 针 对 ： 路 径 的 访 问 是 没 有 认 证 约 束 的 。 对 应 到 代 码 中 ， 就 是 说 当 访 问 的 路 由 符 合 该 路 由 映 射 表 中 的 情 况 时 ， 将 根 据 配 置 设 置 变 量 ， 也 就 是 最 终 返 回 的 : 这 里 的 / / i m a g e s / * / c o m m o n / * / c s s / * r c F o r A l l M e t h o d s r e s o u r c e C o n s t r a i n t u n r e s t r i c t e d
变 量 代 表 该 路 由 是 否 为 非 受 限 路 由 ， 在 后 续 鉴 权 时 该 变 量 会 起 关 键 性 作 用 。 当 请 求 的 路 由 是 路 由 表 中 的 路 由 时 ， 该 变 量 都 为 。 当 完 成 设 置 后 ， 就 会 进 入 方 法 进 行 权 限 鉴 定 ： 这 里 将 执 行 流 转 换 到 方 法 中 ： 首 先 会 根 据 来 确 定 是 否 需 要 重 新 登 录 ， 之 后 会 判 断 是 否 为 指 定 路 由 ， 如 果 是 未 指 定 的 路 由 ， 则 保 护 资 源 ， 由 于 我 们 这 里 访 问 的 路 由 为 ， 在 指 定 的 路 由 表 中 ， 所 以 这 里 是 。 重 点 看 方 法 ， 这 里 会 用 到 中 的 ： 这 里 首 先 会 判 断 当 前 的 账 户 是 否 为 A d m i n 账 户 ， 当 前 应 用 是 否 为 内 部 引 用 等 ， 若 都 不 满 足 ， 则 会 判 断 是 否 设 置 了 选 项 ， 这 里 是 t r u e r e s o u r c e C o n s t r a i n t i s A u t h o r i z e d C e r t S e c u r i t y M o d u l e # c h e c k U s e r P e r m s e s s i o n / c s s f a l s e h a s P e r m i s s i o n r e s o u r c e C o n s t r a i n t u n r e s t r i c t e d 完 整 安 全 路 由
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理