搜索

[11577] 2017-07-23_CVE-2017-4918：VMwareHorizon的macOS客户端代码注入漏洞分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-23_CVE-2017-4918：VMwareHorizon的macOS客户端代码注入漏洞分析 C V E - 2 0 1 7 - 4 9 1 8 ： V M w a r e   H o r i z o n 的 m a c O S 客 户 端 代 码 注 入 漏 洞 分 析 鸢 尾   F r e e B u f   2 0 1 7 - 0 7 - 2 3 本 文 我 们 将 探 讨 如 何 通 过 本 文 我 们 将 探 讨 如 何 通 过   V M w a r e   H o r i z o n   m a c O S 客 户 端 版 本 客 户 端 版 本 4 . 4 . 0   ( 5 1 6 4 3 2 9 ) 中 存 在 的 代 码 注 入 漏 洞 获 取 本 地 中 存 在 的 代 码 注 入 漏 洞 获 取 本 地 r o o t 权 限 。 在 此 文 发 布 前 我 们 已 确 认 漏 洞 在 最 新 版 本 中 已 被 修 复 ， 该 漏 洞 是 在 我 学 习 了 解 权 限 。 在 此 文 发 布 前 我 们 已 确 认 漏 洞 在 最 新 版 本 中 已 被 修 复 ， 该 漏 洞 是 在 我 学 习 了 解 “ O p e n   V M w a r e   V i e w C l i e n t   S e r v i c e s ”   S U I D 机 制 后 发 现 的 。 机 制 后 发 现 的 。 该 漏 洞 存 在 于 H o r i z o n 内 部 的 远 程 U S B 服 务 ， 且 仅 在 键 入 管 理 凭 证 启 动 服 务 之 后 才 能 利 用 为 了 进 一 步 研 究 ， 我 使 用 到 F i r e e y e 最 新 发 布 的 M o n i t o r . a p p 应 用 程 序 ， 该 程 序 主 要 用 于 m a c O S 上 的 进 程 监 听 ( p r o c m o n )
从 M o n i t o r . a p p 捕 获 到 的 结 果 ， 可 以 清 楚 得 知 s e r v i c e s . s h 被 包 装 在 O p e n   V M w a r e   V i e w   C l i e n t   S e r v i c e s 之 中 。 这 样 脚 本 文 件 的 S U I D 位 被 忽 略 也 就 说 得 通 了 （ 参 考 A l l o w   s e t u i d   o n   s h e l l   s c r i p t s ） 。 在 仔 细 观 察 该 脚 本 文 件 之 后 ， 我 辨 识 出 如 下 截 图 中 代 码 高 亮 部 分 或 许 就 是 代 码 注 入 漏 洞 的 起 点 。 尽 管 我 对 . / v m w a r e - u s b a r b i t r a t o r 的 内 部 工 作 原 理 不 了 解 ， 但 这 些 代 码 深 深 的 吸 引 了 我 的 目 光 。 作 为 一 个 非 管 理 员 用 户 ， 我 能 够 设 置 环 境 变 量 V M W A R E _ V I E W _ U S B A R B I T R A T O R _ L O G _ O P T I O N S 的 内 容 （ 在 之 后 的 一 个 S U I D 执 行 脚 本 中 会 用 到 ） 在 仔 细 阅 读 命 令 行 参 数 选 项 说 明 后 ， 我 非 常 肯 定 我 们 是 能 够 通 过 – k e x t 参 数 加 载 一 个 自 定 义 内 核 扩 展 。
但 接 下 来 我 们 将 面 临 2 个 问 题 ： 内 核 扩 展 仅 在 r o o t   :   w h e e l 权 限 下 加 载 此 外 ， K E X T s 必 须 有 苹 果 公 司 的 签 名 经 过 一 系 列 思 考 ， 我 决 定 忽 略 第 二 个 问 题 。 因 此 ， 我 禁 用 了 S I P 接 下 来 我 们 就 着 重 关 注 第 一 个 问 题 。 为 了 成 功 加 载 一 个 内 核 扩 展 ， 该 二 进 制 文 件 必 属 于 r o o t   :   w h e e l 。 然 而 ， 对 于 一 个 普 通 用 户 来 说 ， 是 无 法 在 本 地 文 件 上 设 置 该 文 件 系 统 权 限 的 。 幸 运 的 是 ， 在 这 之 前 我 有 花 时 间 去 了 解 T o o l s   O n   A i r 文 件 系 统 的 输 入 输 出 原 理 ， 所 以 我 清 楚 的 知 道 我 们 只 需 利 用 N F S 便 能 达 到 目 的 。 N F S 允 许 服 务 指 定 文 件 系 统 权 限 ， 即 使 是 由 一 个 普 通 用 户 进 行 挂 载 。 我 所 知 道 的 其 他 本 地 或 者 远 程 文 件 系 统 从 某 种 程 度 上 来 讲 ， 都 会 忽 略 r o o t 用 户 所 属 文 件 权 限 。 我 们 的 下 一 个 动 作 即 是 引 用 一 个 远 程 文 件 夹 ( 我 随 身 携 带 的 K a l i   L i n u x ) 以 利 用 N F S 。
使 用 F i n d e r 的 “ 连 接 到 服 务 器 ” 功 能 进 行 挂 载 接 着 创 建 一 个 简 单 的 K E X T 之 后 更 新 I n f o . p l i s t 文 件 以 满 足 我 们 的 需 求 （ 新 增 一 个 I O K i t P e r s o n a l i t i e s 字 典 ） ， 我 已 经 准 备 好 了 ！
通 过 将 K E X T 复 制 到 N F S 服 务 器 ， 之 后 进 行 权 限 调 整 以 满 足 r o o t : w h e e l ， 至 此 我 们 便 能 够 愉 快 的 开 始 真 正 的 利 用 了 。 在 我 们 之 前 创 建 的 K E X T 中 简 单 设 置 V M W A R E _ V I E W _ U S B A R B I T R A T O R _ L O G _ O P T I O N S 环 境 变 量 ， 然 后 运 行 O p e n   V M w a r e   V i e w   C l i e n t   S e r v i c e s 。 现 在 能 够 成 功 加 载 了 。 至 此 ， 我 们 作 为 一 个 普 通 用 户 拿 下 内 核 环 境 的 代 码 执 行 权 限 。 解 决 方 案 解 决 方 案 过 滤 或 者 清 除 环 境 变 量 V M W A R E _ V I E W _ U S B A R B I T R A T O R _ L O G _ O P T I O N S 以 及 V M W A R E _ V I E W _ U S B D _ L O G _ O P T I O N S * 参 考 来 源 ： b o g n e r ， f r e e b u f 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理