搜索

[10524] 2016-09-21_Metasploit曝远程代码执行漏洞别惹我，我疯起来连自己都黑

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-09-21_Metasploit曝远程代码执行漏洞别惹我，我疯起来连自己都黑 M e t a s p l o i t 曝 远 程 代 码 执 行 漏 洞   |   别 惹 我 ， 我 疯 起 来 连 自 己 都 黑 A r t h u r K i l l e r   F r e e B u f   2 0 1 6 - 0 9 - 2 1 就 在 本 周 ， 就 在 本 周 ， R a p i d 7 社 区 发 布 两 个 关 于 社 区 发 布 两 个 关 于 M e t a s p l o i t 框 架 的 安 全 补 丁 ， 通 过 这 两 个 漏 洞 ， 攻 击 者 可 以 远 程 非 授 权 执 行 任 意 代 码 。 目 前 ， 安 全 研 究 人 员 已 经 发 放 出 相 关 框 架 的 安 全 补 丁 ， 通 过 这 两 个 漏 洞 ， 攻 击 者 可 以 远 程 非 授 权 执 行 任 意 代 码 。 目 前 ， 安 全 研 究 人 员 已 经 发 放 出 相 关 P O C 攻 击 代 码 。 攻 击 代 码 。 漏 洞 一 ： 漏 洞 一 ： M e t a s p l o i t   W e b   U I 相 关 文 件 中 的 相 关 文 件 中 的 c o n f i g . a c t i o n _ d i s p a t c h . c o o k i e s _ s e r i a l i z e r 设 置 为 设 置 为 : h y b r i d 漏 洞 信 息 漏 洞 信 息 O V E   I D :   O V E - 2 0 1 6 0 9 0 4 - 0 0 0 1 私 有 披 露 日 期 :   2 0 1 6 - 0 9 - 0 4 公 开 披 露 日 期 :   2 0 1 6 - 0 9 - 1 9 厂 商 公 告       :   h t t p s : / / c o m m u n i t y . r a p i d 7 . c o m / c o m m u n i t y / m e t a s p l o i t / b l o g / 2 0 1 6 / 0 9 / 1 5 / i m p o r t a n t - s e c u r i t y - f i x e s - i n - m e t a s p l o i t - 4 1 2 0 - 2 0 1 6 0 9 1 4 0 1 影 响 的 版 本   :   M e t a s p l o i t   4 . 1 2 . 0 - 2 0 1 6 0 6 1 5 0 1   到   4 . 1 2 . 0 - 2 0 1 6 0 8 3 0 0 1 漏 洞 描 述 漏 洞 描 述 M e t a s p l o i t 作 为 一 个 安 全 测 试 框 架 ， 里 面 集 成 了 非 常 多 的 功 能 ， 比 如 m s f c o n s o l e ， m s f v e n o m 等 ， 并 且 也 提 供 了 非 常 多 的 接 口 和 界 面 ， 比 如 s h e l l 接 口 ， W i n d o w s   G U I 页 面 ， W E B   U I 页 面 等 等 。 而 这 次 的 问 题 主 要 是 出 在 W E B 接 口 上 。 M S F   C o m m u n i t y ,   E x p r e s s   和   P r o   版 本 的   W e b   U I 在 4 . 1 2 . 0 - 2 0 1 6 0 6 1 5 0 1 至 4 . 1 2 . 0 - 2 0 1 6 0 8 3 0 0 1 版 本 中 的 c o n f i g . a c t i o n _ d i s p a t c h . c o o k i e s _ s e r i a l i z e r 值 设 置 为   : h y b r i d ， 并 且 引 入 了 h y b r i d   c o o k i e 序 列 化 ， 这 将 允 许 反 序 列 化 J S O N 和 M a r s h a l 序 列 化 的 c o o k i e s 。 直 到 M e t a s p l o i t   4 . 1 2 . 0 - 2 0 1 6 0 9 1 4 0 1 ， 才 将 其 值 设 置 为 : j s o n 。 也 就 是 说 ， 只 要 也 就 是 说 ， 只 要 c o o k i e 序 列 化 设 置 为 序 列 化 设 置 为 M a r s h a l 或 或 h y b i r d 时 ， 并 且 攻 击 者 知 道 时 ， 并 且 攻 击 者 知 道 c o o k i e   s i g n i n g   k e y 的 值 ， 那 么 攻 击 者 就 可 以 构 造 的 值 ， 那 么 攻 击 者 就 可 以 构 造 c o o k i e ， 触 发 ， 触 发 M a r s h a l 反 序 列 化 ， 实 现 任 意 代 码 执 行 。 反 序 列 化 ， 实 现 任 意 代 码 执 行 。 参 考 参 考 [ 0 ]   h t t p : / / b l o g . b i g b i n a r y . c o m / 2 0 1 4 / 1 2 / 2 3 / m i g r a t i n g - e x i s t i n g - s e s s i o n - c o o k i e s - w h i l e - u p g r a d i n g - t o - r a i l s - 4 - 1 - a n d - a b o v e . h t m l [ 1 ]   h t t p s : / / w w w . r a p i d 7 . c o m / d b / m o d u l e s / e x p l o i t / m u l t i / h t t p / r a i l s _ s e c r e t _ d e s e r i a l i z a t i o n 漏 洞 二 ： 漏 洞 二 ： M e t a s p l o i t 本 周 发 布 了 静 态 的 本 周 发 布 了 静 态 的 s e c r e t _ k e y _ b a s e ， 这 个 将 会 导 致 远 程 命 令 执 行 代 码 ， 这 个 将 会 导 致 远 程 命 令 执 行 代 码 漏 洞 信 息 漏 洞 信 息 O V E   I D :   O V E - 2 0 1 6 0 9 0 4 - 0 0 0 2 私 有 披 露 日 期 :   2 0 1 6 - 0 9 - 0 4 公 开 披 露 日 期 :   2 0 1 6 - 0 9 - 1 9 厂 商 公 告       : h t t p s : / / c o m m u n i t y . r a p i d 7 . c o m / c o m m u n i t y / m e t a s p l o i t / b l o g / 2 0 1 6 / 0 9 / 1 5 / i m p o r t a n t - s e c u r i t y - f i x e s - i n - m e t a s p l o i t - 4 1 2 0 - 2 0 1 6 0 9 1 4 0 1 影 响 的 版 本   :   M e t a s p l o i t   4 . 1 2 . 0 - 2 0 1 6 0 6 1 5 0 1   到   4 . 1 2 . 0 - 2 0 1 6 0 8 3 0 0 1 漏 洞 描 述 漏 洞 描 述 通 过 第 一 个 漏 洞 ， 我 们 已 经 可 以 确 定 c o o k i e 序 列 化 设 置 为 h y b i r d ， 但 是 攻 击 者 还 必 须 知 道 c o o k i e   s i g n i n g   k e y 的 值 才 可 以 构 造 c o o k i e ， 实 现 远 程 代 码 执 行 。 非 常 不 幸 的 是 ， 非 常 不 幸 的 是 ， M S F   W E B   U I 中 的 中 的 s e c r e t _ k e y _ b a s e 是 静 态 的 ， 并 且 该 值 是 公 开 的 。 是 静 态 的 ， 并 且 该 值 是 公 开 的 。 以 下 是 目 前 已 知 受 影 响 的 M S F 的 值 ： 4 . 1 2 . 0 - 2 0 1 6 0 6 1 5 0 1 版 本 ： d 2 5 e 9 a d 8 c 9 a 1 5 5 8 a 6 8 6 4 b c 3 8 b 1 c 7 9 e a f e f 4 7 9 c c e e 5 a d 0 b 4 b 2 f f 6 a 9 1 7 c d 8 d b 4 c 6 b 8 0 d 1 b f 1 e a 9 6 0 f 8 e f 9 2 2 d d f e b d 4 5 2 5 f c f f 2 5 3 a 1 8 d d 7 8 a 1 8 2 7 5 3 1 1 d 4 5 7 7 0 e 5 c 9 1 0 3 f c 7 b 6 3 9 e c b d 1 3 e 9 c 2 d b b a 3 d a 5 c 2 0 e f 2 b 5 c b e a 0 3 0 8 a c f c 2 9 2 3 9 a 1 3 5 7 2 4 d d c 9 0 2 c c c 6 a 3 7 8 b 6 9 6 6 0 0 a 1 6 6 1 e d 9 2 6 6 6 e a d 9 c d b f 1 b 6 8 4 4 8 6 f 5 c 5 e 6 b 9 b 1 3 2 2 6 9 8 2 d d 7 4 . 1 2 . 0 - 2 0 1 6 0 6 2 1 0 1 版 本 ： 9 9 9 8 8 f f 5 2 8 c c 0 e 9 a a 0 c c 5 2 d c 9 7 f e 1 d d 1 f c b e d b 6 d f 6 c a 7 1 f 6 f 5 5 5 3 9 9 4 e 6 2 9 4 d 2 1 3 f c f 5 3 3 a 1 1 5 d a 8 5 9 c a 1 6 e 9 1 9 0 c 5 3 d d d 5 9 6 2 d d d 1 7 1 c 2 e 3 1 a 1 6 8 f b 8 a 8 f 3 e f 0 0 0 f 1 a 6 4 b 5 9 a 4 e a 3 c 5 e c 9 9 6 1 a 0 d b 0 9 4 5 c a e 9 0 a 7 0 f d 6 4 e b 7 f b 5 0 0 6 6 2 f c 9 e 7 5 6 9 c 9 0 b 2 0 9 9 8 a d e c a 4 5 0 3 6 2 e 5 c a 8 0 d 0 0 4 5 b 6 a e 1 d 5 4 c a f 4 b 8 e 6 d 8 9 c c 4 e b e f 3 f d 4 9 2 8 6 2 5 b f c 4 . 1 2 . 0 - 2 0 1 6 0 7 2 5 0 1 版 本 ： 4 4 6 d b 1 5 a e b 1 b 4 3 9 4 5 7 5 e 0 9 3 e 4 3 f a e 0 f c 8 c 4 e 8 1 d 3 1 4 6 9 6 a c 4 2 5 9 9 e 5 3 a 7 0 a 5 e b e 9 c 2 3 4 e 6 f a 1 5 5 4 0 e 1 f c 3 a e 4 e 9 9 a d 6 4 5 3 1 a b 1 0 c 5 a 4 d e c a 1 0 c 2 0 b a 6 c e 2 a e 7 7 f 7 0 e 7 9 7 5 9 1 8 f b a a e a 5 6 e d 7 0 1 2 1 3 3 4 1 b e 9 2 9 0 9 1 a 5 7 0 4 0 4 7 7 4 f d 6 5 a 0 c 6 8 b 2 e 6 3 f 4 5 6 a 0 1 4 0 a c 9 1 9 c 6 e c 2 9 1 a 7 6 6 0 5 8 f 0 6 3 b e e b 5 0 c e d d 6 6 6 b 1 7 8 b c e 5 a 9 b 7 e 2 f 3 9 8 4 e 3 7 e 8 f d e 4 . 1 2 . 0 - 2 0 1 6 0 8 1 0 0 1 版 本 ： 6 1 c 6 4 7 6 4 c a 3 e 2 8 7 7 2 b d d d 3 b 4 a 6 6 6 d 5 a 5 6 1 1 a 5 0 c e b 0 7 e 3 b d 5 8 4 7 9 2 6 b 0 4 2 3 9 8 7 2 1 8 c f c 8 1 4 6 8 c 8 4 a 7 7 3 7 c 2 3 c 2 7 5 6 2 c b 9 b f 4 0 b c 1 5 1 9 d b 1 1 0 b f 6 6 9 9 8 7 c 7 b b 7 f d 4 e 1 8 5 0 f 6 0 1 c 2 b f 1 7 0 f 4 b 7 5 a f a b f 8 6 d 4 0 c 4 2 8 e 4 d 1 0 3 b 2 f e 6 9 5 2 8 3 5 5 2 1 f 4 0 b 2 3 d b d 9 c 3 c a c 5 5 b 5 4 3 a e f 2 f b 2 2 2 4 4 1 b 3 a e 2 9 c 3 a b b d 5 9 4 3 3 5 0 4 1 9 8 7 5 3 d f 0 e 7 0 d d 3 9 2 7 f 7 1 0 5 a 4 . 1 2 . 0 - 2 0 1 6 0 8 1 2 0 1 版 本 ： 2 3 b b d 1 f d e b d c 5 a 2 7 e d 2 c b 2 e e a 6 7 7 9 f d d 6 b 7 a 1 f a 5 3 7 3 f 5 e e b 2 7 4 5 0 7 6 5 f 2 2 d 3 f 7 4 4 a d 7 6 b d 7 f b f 5 9 e d 6 8 7 a 1 a b a 4 8 1 2 0 4 0 4 5 2 5 9 b 7 0 b 2 6 4 f 4 7 3 1 d 1 2 4 8 2 8 7 7 9 c 9 9 d 4 7 5 5 4 c 0 1 3 3 a 5 3 7 6 5 2 e b a 2 6 8 b 2 3 1 c 9 0 0 7 2 7 b 6 6 0 2 d 8 e 5 c 6 a 7 3 f e 2 3 0 a 8 e 2 8 6 e 9 7 5 f 1 7 6 5 c 5 7 4 4 3 1 1 7 1 b c 2 a f 0 c 0 8 9 0 9 8 8 c c 1 1 c b 4 e 9 3 d 3 6 3 c 5 e d c 1 5 d 5 a 1 5 e c 5 6 8 1 6 8 d a f 3 2 4 . 1 2 . 0 - 2 0 1 6 0 8 3 0 0 1 版 本 ： 1 8 e d d 3 c 0 c 0 8 d a 4 7 3 b 0 c 9 4 f 1 1 4 d e 4 1 7 b 3 c d 4 1 d a c e 1 d a c d 6 7 6 1 6 b 8 6 4 c b e 6 0 b 6 6 2 8 e 8 a 0 3 0 e 1 9 8 1 c e f 3 e b 4 b 5 7 b 0 4 9 8 a d 6 f b 2 2 c 2 4 3 6 9 e d c 8 5 2 c 5 3 3 5 e 2 7 6 7 0 2 2 0 e a 3 8 f 1 e e c f 5 c 7 b b 3 2 1 7 4 7 2 c 8 d f 3 2 1 3 b c 3 1 4 a f 3 0 b e 3 3 c d 6 f 3 9 4 4 b a 5 2 4 c 1 6 c a f b 1 9 4 8 9 a 9 5 d 9 6 9 a d a 2 6 8 d f 3 7 7 6 1 c 0 a 2 b 6 8 c 0 e e a f b 1 3 5 5 a 5 8 a 9 a 6 a 8 9 c 9 2 9 6 b f d 6 0 6 a 7 9 6 1 5 其 它 版 本 ：
b 4 b c 1 f a 2 8 8 8 9 4 5 1 8 0 8 8 b f 7 0 c 8 2 5 e 5 c e 6 d 5 b 1 6 b b f 2 0 0 2 0 0 1 8 2 7 2 3 8 3 e 0 9 e 5 6 7 7 7 5 7 c 6 f 1 c c 1 2 e b 3 9 4 2 1 e a f 5 7 f 8 1 8 2 2 a 4 3 4 a f 1 0 9 7 1 b 5 7 6 2 a e 6 4 c b 1 1 1 9 0 5 4 0 7 8 b 7 2 0 1 f a 6 c 5 e 7 a a c d c 0 0 d 5 8 3 7 a 5 0 b 2 0 a 0 4 9 b d 5 0 2 f c f 7 e d 8 6 b 3 6 0 d 7 c 7 1 9 4 2 b 9 8 3 a 5 4 7 d d e 2 6 a 1 7 0 b e c 3 f 1 1 f 4 2 b e e 6 a 4 9 4 d c 2 c 1 1 a e 7 d b d 6 d 1 7 9 2 7 3 4 9 c d c b 8 1 f 0 e 9 f 1 7 d 2 2 c 目 前 这 个 漏 洞 的 利 用 脚 本 已 经 公 开 到 M S F 上 ， 模 块 位 置 是 e x p l o i t / m u l t i / h t t p / r a i l s _ s e c r e t _ d e s e r i a l i z a t i o n 。 大 家 可 以 更 新 自 己 的 M S F 使 用 此 脚 本 ， 或 者 去 G i t H u b 上 下 载 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / b l o b / m a s t e r / m o d u l e s / e x p l o i t s / m u l t i / h t t p / r a i l s _ s e c r e t _ d e s e r i a l i z a t i o n . r b 点 击 阅 读 原 文 查 看 使 用 方 法 。 点 击 阅 读 原 文 查 看 使 用 方 法 。 R a p i d 7   在   e t a s p l o i t   4 . 1 2 . 0 - 2 0 1 6 0 9 1 4 0 1 版 本 中 修 复 了 这 个 问 题 ， 将 会 检 测 s e c r e t _ k e y _ b a s e 的 值 是 否 是 默 认 值 ， 如 果 是 ， 将 重 新 生 成 ， 因 此 用 户 要 尽 快 升 级 到 M e t a s p l o i t   4 . 1 2 . 0 - 2 0 1 6 0 9 1 4 0 1 或 以 上 版 本 。 参 考 参 考 [ 0 ]   h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / p u l l / 7 3 0 4 [ 1 ]   h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / p u l l / 7 3 4 1 总 结 总 结 该 漏 洞 在 国 内 影 响 或 许 有 些 广 泛 ， 其 主 要 原 因 是 国 内 大 部 分 宽 带 的 I P 要 么 是 在 内 网 ， 要 么 是 动 态 的 ， 并 且 还 有 G F W 对 众 多 域 名 和 I P 的 拦 截 。 复 杂 的 网 络 环 境 导 致 大 部 分 黑 客 会 将 M S F 架 设 在 境 外 的 V P S 或 者 私 人 服 务 器 上 ， 并 且 开 启 W E B   G U I 接 口 ， 以 便 随 时 对 M S F 进 行 控 制 和 访 问 。 换 句 话 来 说 ， 国 内 有 很 多 安 全 研 究 人 员 的 M S F 都 处 在 公 网 I P 。 实 际 上 该 漏 洞 很 早 之 前 就 爆 料 出 来 ， 只 是 目 前 通 过 s h o d a n 搜 索 关 键 字 t i t l e : ” m e t a s p l o i t   i s   i n i t i a l i z i n g ” ， 我 们 可 以 发 现 大 部 分 公 网 中 的 M S F 处 在 美 国 的 服 务 器 上 。 梳 理 了 一 下 这 两 个 漏 洞 ， 漏 洞 的 理 由 流 程 是 1 .   通 过 漏 洞 二 获 取 静 态 的 s e c r e t _ k e y _ b a s e 2 .   通 过 漏 洞 一 构 造 c o o k i e 3 .   M a r s h a l 反 序 列 化 ， 实 现 任 意 代 码 执 行 话 说 这 个 漏 洞 很 早 就 已 经 爆 料 出 来 了 ， 并 且 想 不 通 m e t a s p l o i t 为 什 么 会 犯 这 种 低 级 错 误 ， 难 道 是 背 后 有 更 多 的 “ 故 事 ” ？ 不 过 说 实 话 ， 这 个 漏 洞 的 理 由 条 件 还 是 非 常 的 苛 刻 。 1 .   对 方 必 须 开 机 M S F   W E B   G U I 接 口 2 .   对 方 的 M S F 版 本 必 须 在 4 . 1 2 . 0 - 2 0 1 6 0 6 1 5 0 1 至 4 . 1 2 . 0 - 2 0 1 6 0 8 3 0 0 1 3 .   对 方 的 M S F 需 要 处 于 在 公 网 上 ， 或 者 攻 击 者 可 以 访 问 对 方 M S F   W E B   G U I 的 接 口 * 原 文 链 接 ： G i t h u b ， A r t h u r K i l l e r 编 译 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理