搜索

[13351] 2018-10-28_WindowsJavaUsageTracker本地提权漏洞分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-10-28_WindowsJavaUsageTracker本地提权漏洞分析 W i n d o w s   J a v a   U s a g e   T r a c k e r 本 地 提 权 漏 洞 分 析 e r i d a n u s 9 6   F r e e B u f   2 0 1 8 - 1 0 - 2 8 近 期 ， 我 们 发 现 了 一 个 近 期 ， 我 们 发 现 了 一 个 J a v a   U s a g e   T r a c k e r 中 的 设 计 缺 陷 ， 可 导 致 攻 击 者 创 建 任 意 文 件 ， 注 入 指 定 参 数 ， 并 实 中 的 设 计 缺 陷 ， 可 导 致 攻 击 者 创 建 任 意 文 件 ， 注 入 指 定 参 数 ， 并 实 现 本 地 权 限 提 升 。 反 之 ， 该 漏 洞 可 以 用 于 权 限 提 升 ， 从 而 使 攻 击 者 可 以 访 问 受 漏 洞 影 响 系 统 中 的 资 源 ， 这 些 资 现 本 地 权 限 提 升 。 反 之 ， 该 漏 洞 可 以 用 于 权 限 提 升 ， 从 而 使 攻 击 者 可 以 访 问 受 漏 洞 影 响 系 统 中 的 资 源 ， 这 些 资 源 通 常 受 到 保 护 ， 或 仅 限 于 特 定 应 用 程 序 或 用 户 才 有 权 访 问 。 源 通 常 受 到 保 护 ， 或 仅 限 于 特 定 应 用 程 序 或 用 户 才 有 权 访 问 。 我 们 通 过 Z e r o   D a y   I n i t i a t i v e ， 与 O r a c l e 合 作 修 复 了 这 一 漏 洞 ， 该 漏 洞 已 经 在 O r a c l e 的 2 0 1 8 年 1 0 月 更 新 中 实 现 修 复 。 因 此 ， 需 要 敦 促 个 人 用 户 及 企 业 尽 快 更 新 他 们 的 J a v a 版 本 。 在 本 文 中 ， 我 们 将 深 入 研 究 这 一 漏 洞 在 W i n d o w s 上 的 出 现 原 因 、 J a v a   U s a g e   T r a c k e r 的 工 作 原 理 以 及 实 现 漏 洞 利 用 所 必 要 的 条 件 。 O r a c l e 安 全 更 新 公 告 ： h t t p s : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / c p u o c t 2 0 1 8 - 4 4 2 8 2 9 6 . h t m l 。 J a v a   U s a g e   T r a c k e r 在 J a v a 中 ， 有 一 个 名 为 J a v a U s a g e   T r a c k e r 的 功 能 ， 用 于 跟 踪 系 统 中 J a v a 的 使 用 方 式 。 J a v a   U s a g e   T r a c k e r 具 有 以 下 功 能 ： 1 、 通 过 启 动 配 置 参 数 ， 记 录 有 关 J a v a 虚 拟 机 （ J V M ） 的 日 志 信 息 。 2 、 将 数 据 转 储 到 日 志 文 件 中 ， 或 将 其 重 定 向 到 U D P 服 务 器 。 3 、 允 许 U s a g e   T r a c k e r 配 置 中 指 定 自 定 义 属 性 的 日 志 值 。 J a v a   U s a g e   T r a c k e r 的 配 置 文 件 名 称 为 u s a g e t r a c k e r . p r o p e r t i e s 。 该 文 件 位 于 全 局 默 认 位 置 ， 这 一 位 置 根 据 操 作 系 统 的 不 同 而 有 所 不 同 。 例 如 ， W i n d o w s 的 默 认 路 径 是 % P r o g r a m D a t a % O r a c l e J a v a 。 全 局 默 认 路 径 中 的 u s a g e t r a c k e r 文 件 将 跟 踪 系 统 中 所 有 启 动 的 J V M 的 使 用 情 况 。 下 图 展 示 了 一 个 u s a g e t r a c k e r . p r o p e r t i e s 的 样 例 ： 在 上 图 的 第 9 行 中 ， 我 们 可 以 看 到 ， J a v a U s a g e   T r a c k e r 会 将 日 志 信 息 记 录 到 文 件 g l o b a l _ j a v a t r a c k e r . l o g 中 。 以 安 装 A p a c h e   T o m c a t （ 基 于 J a v a 的 开 源 工 具 ） 的 系 统 为 例 ， 重 新 启 动 服 务 后 ， 将 创 建 文 件 g l o b a l _ j a v a t r a c k e r . l o g ， 并 在 其 中 写 入 J a v a 使 用 情 况 跟 踪 数 据 。 每 次 ， 在 T o m c a t 服 务 启 动 时 ， 都 会 向 该 日 志 文 件 中 写 入 新 的 跟 踪 信 息 。 下 图 是 跟 踪 数 据 的 示 例 ， 请 注 意 这 里 是 如 何 使 用 逗 号 分 隔 两 个 不 同 值 的 ， 是 在 属 性 文 件 （ 分 隔 符 配 置 ） 中 定 义 。
用 户 控 制 的 参 数 在 文 件 u s a g e t r a c k e r . p r o p e r t i e s 中 ， 有 两 个 属 性 控 制 J a v a   U s a g e   T r a c k e r 的 行 为 ， 分 别 是 ： l o g T o f i l e 属 性 允 许 用 户 选 择 系 统 中 的 任 意 路 径 来 保 存 日 志 文 件 。 需 要 注 意 的 是 ， 日 志 文 件 是 由 被 监 控 的 J V M 创 建 的 。 如 果 J V M 以 提 升 后 的 权 限 运 行 ， 那 么 J V M 就 能 够 在 系 统 的 任 何 地 方 创 建 该 文 件 ， 文 件 的 扩 展 名 也 不 受 控 制 （ 也 就 是 说 ， 可 以 创 建 名 为 g l o b a l _ j a v a t r a c k e r . b a t 的 日 志 文 件 ） 。 尽 管 l o g T o F i l e 路 径 可 以 任 意 设 置 ， 但 无 法 控 制 文 件 内 容 。 因 为 J V M 只 会 从 现 有 的 数 据 （ 无 法 修 改 ） 中 写 入 值 。 然 而 ， J a v a   U s a g e   T r a c k e r 具 有 从 自 定 义 属 性 获 取 值 的 特 殊 功 能 。   a d d i t i o n a l P r o p e r t i e s 可 以 包 含 要 跟 踪 的 任 意 和 其 他 自 定 义 属 性 ， 如 下 所 示 。 如 何 通 过 a d d i t i o n a l P r o p e r t i e s 添 加 自 定 义 属 性 ： 重 新 启 动 T o m c a t 服 务 后 ， 如 何 跟 踪 数 据 的 代 码 段 ： 如 上 图 所 示 ， 该 行 的 末 尾 附 加 了 一 个 带 有 n u l l 值 的 已 配 置 跟 踪 属 性 c o m . a n o t h e r I n t e r e s t i n g P r o p e r t y =   n u l l 。 其 值 为 n u l l ， 表 明 该 属 性 不 存 在 。 有 两 种 方 法 可 以 控 制 J a v a   U s a g e   T r a c k e r 的 行 为 ： 设 置 任 意 日 志 路 径 ， 或 者 设 置 任 意 自 定 义 属 性 。 目 前 ， 这 个 功 能 似 乎 是 不 能 被 利 用 的 ， 但 是 如 果 结 合 了 其 他 安 全 漏 洞 ， 就 能 够 被 攻 击 者 利 用 。 借 助 自 定 义 属 性 实 现 漏 洞 利 用 下 面 ， 我 们 详 细 说 明 如 何 借 助 自 定 义 属 性 实 现 漏 洞 利 用 。 先 前 配 置 文 件 中 的 第 9 行 会 使 得 J a v a   U s a g e   T r a c k e r 强 制 创 建 . b a t 文 件 ， 然 后 添 加 自 定 义 属 性 p i n g   1 7 2 . 0 . 1 . 1   > 。 其 生 成 了 文 件 g l o b a l _ j a v a t r a c k e r . b a t ， 如 下 图 所 示 。 o r a c l e . u s a g e t r a c k e r . l o g T o F i l e   o r a c l e . u s a g e t r a c k e r . a d d i t i o n a l P r o p e r t i e s
g l o b a l _ j a v a t r a c k e r . b a t 中 自 定 义 属 性 ： g l o b a l _ j a v a t r a c k e r . b a t 正 在 被 执 行 ： 在 这 里 ， 需 要 注 意 附 加 属 性 p i n g   1 7 2 . 0 . 1 . 1   > =   n u l l 。 当 我 们 执 行 批 处 理 文 件 g l o b a l _ j a v a t r a c k e r . b a t 时 ， 会 显 示 错 误 消 息 “ V M   s t a r t ” 无 法 识 别 。 发 生 此 错 误 的 原 因 在 于 ， J a v a   U s a g e   T r a c k e r 的 属 性 文 件 仅 生 成 一 行 ， 并 且 其 分 隔 符 是 根 据 配 置 中 的 c o m . o r a c l e . u s a g e t r a c k e r . s e p a r a t o r = ,   来 决 定 的 ， 使 用 了 逗 号 作 为 分 隔 符 。 那 么 ， 如 果 将 分 隔 符 更 改 为 “ n e w   l i n e ” （ 新 的 一 行 ） ， 将 会 生 成 完 全 不 同 的 跟 踪 日 志 。 带 有 “ n e w   l i n e ” 分 隔 符 的 J a v a U s a g e   T r a c k e r ：
使 用 “ n e w   l i n e ” 分 隔 符 后 ， 生 成 的 跟 踪 日 志 ： 上 图 中 的 最 后 一 行 ， 包 含 p i n g   1 7 2 . 0 . 1 . 1   > =   n u l l 。 如 果 运 行 g l o b a l _ j a v a t r a c k e r . b a t ， 那 么 就 会 导 致 执 行 p i n g 1 7 2 . 0 . 1 . 1 >   = n u l l 命 令 。 但 是 ， 由 于 带 有 双 引 号 ， 所 以 该 命 令 无 法 识 别 。 但 是 ， 我 们 还 有 机 会 执 行 该 命 令 ， 因 为 每 个 属 性 值 的 双 引 号 ， 可 以 通 过 修 改 另 一 个 配 置 c o m . o r a c l e . u s a g e t r a c k e r . q u o t e   = ” 来 实 现 替 换 。 举 例 来 说 ， 我 们 创 建 一 个 内 容 为 空 的 c o m . o r a c l e . u s a g e t r a c k e r . q u o t e 配 置 ， 如 下 图 所 示 。 内 容 为 空 的 c o m . o r a c l e . u s a g e t r a c k e r . q u o t e ：
使 用 空 配 置 从 c o m . o r a c l e . u s a g e t r a c k e r . q u o t e 生 成 的 跟 踪 日 志 ： 运 行 g l o b a l _ j a v a t r a c k e r . b a t ， 将 会 执 行 命 令 p i n g   1 7 2 . 0 . 1 . 1 >   =   n u l l 。 如 上 图 中 命 令 提 示 符 最 后 的 提 示 所 示 ， 创 建 了 一 个 “ n u l l ” 文 件 。 至 此 ， 我 们 可 以 利 用 J a v a   U s a g e   T r a c k e r 实 现 以 下 操 作 ： 1 、   在 文 件 系 统 的 任 意 位 置 创 建 文 件 。 2 、 创 建 脚 本 文 件 ， 尽 管 我 们 在 示 例 中 创 建 了 批 处 理 文 件 ， 但 实 际 上 也 可 用 于 创 建 其 他 类 型 的 文 件 。 3 、 注 入 任 意 命 令 （ 或 与 脚 本 文 件 相 关 的 任 何 其 他 文 本 ） 。 攻 击 者 可 以 在 系 统 的 任 意 位 置 执 行 或 创 建 上 述 内 容 ， 或 可 编 写 脚 本 的 文 件 。 但 是 ， 如 果 攻 击 者 想 要 成 功 利 用 这 个 漏 洞 做 一 些 事 情 ， 还 需 要 两 个 条 件 ： 1 、 需 要 在 关 键 位 置 （ 比 如 ： 自 动 启 动 脚 本 ） 中 创 建 恶 意 文 件 。 2 、 需 要 有 权 访 问 关 键 位 置 ， 应 该 由 高 权 限 的 进 程 创 建 恶 意 文 件 。
实 际 上 ， 这 两 个 条 件 都 可 以 实 现 。 举 例 来 说 ， 可 以 为 非 特 权 用 户 创 建 J a v a   U s a g e T r a c k e r 配 置 （ u s a g e t r a c k e r . p r o p e r t i e s ） ， 具 有 更 高 特 权 的 进 程 负 责 创 建 恶 意 日 志 文 件 （ U s a g e   T r a c k e r 日 志 ） 。 创 建 J a v a   U s a g e   T r a c k e r 日 志 文 件 如 果 保 存 到 全 局 配 置 路 径 中 （ 例 如 W i n d o w s 的 % P r o g r a m D a t a % O r a c l e J a v a ） ， 在 系 统 启 动 J V M 时 ， 就 会 读 取 J a v a U s a g e   T r a c k e r 日 志 文 件 。 接 下 来 ， 我 们 再 以 默 认 T o m c a t 安 装 为 例 。 在 安 装 T o m c a t ， 并 使 用 全 局 u s a g e t r a c k e r . p r o p e r t i e s 之 后 ， 跟 踪 日 志 会 在 T o m c a t 重 新 启 动 后 创 建 （ 如 下 图 所 示 ） 。 实 际 上 ， 该 文 件 是 由 T o m c a t 服 务 创 建 的 ， 默 认 情 况 下 会 由 S y s t e m 运 行 。 目 前 ， T o m c a t 服 务 已 经 由 S y s t e m 运 行 ， 因 此 就 可 以 在 任 意 位 置 创 建 恶 意 文 件 g l o b a l _ j a v a t r a c k e r . b a t 。 但 是 ， 配 置 文 件 u s a g e t r a c k e r . p r o p e r t i e s 还 必 须 由 非 特 权 用 户 创 建 。 安 装 T o m c a t 后 ， 创 建 的 跟 踪 日 志 ： T o m c a t 创 建 的 日 志 文 件 ： 本 地 权 限 提 升 J a v a   U s a g e   T r a c k e r 的 全 局 配 置 文 件 ， 都 创 建 在 默 认 路 径 % P r o g r a m D a t a % O r a c l e J a v a 中 。 此 路 径 中 的 内 容 ， 一 部 分 是 在 J a v a 安 装 期 间 创 建 的 ， 也 有 一 部 分 是 在 执 行 J a v a 命 令 时 创 建 的 （ 例 如 j a v a   – c ） 。 默 认 情 况 下 ， % P r o g r a m D a t a % 路 径 只 允 许 系 统 的 “ U s e r s ” 创 建 文 件 。 当 O r a c l e 或 J a v a 路 径 被 建 立 时 ， 也 会 继 承 上 级 路
径 的 默 认 权 限 。 下 图 是 % P r o g r a m D a t a % O r a c l e J a v a 权 限 的 截 图 ： 我 们 举 例 来 进 一 步 说 明 这 个 漏 洞 。 具 有 低 权 限 的 用 户 ， 可 以 创 建 恶 意 配 置 文 件 u s a g e t r a c k e r . p r o p e r t i e s 。 由 于 T o m c a t 服 务 以 “ S y s t e m ” 的 权 限 运 行 ， 因 此 它 可 以 在 系 统 的 任 何 位 置 创 建 批 处 理 文 件 。 在 批 处 理 文 件 中 ， 可 以 包 括 将 脚 本 写 入 到 启 动 项 位 置 之 类 的 例 程 。 总 结 目 前 ， 攻 击 者 可 以 通 过 多 种 方 式 ， 滥 用 J a v a   U s a g e   T r a c k e r 的 功 能 来 实 现 权 限 提 升 。 我 们 的 研 究 仅 在 W i n d o w s 环 境 中 进 行 了 测 试 ， 但 其 他 操 作 系 统 也 可 能 受 到 该 漏 洞 的 影 响 。 攻 击 者 为 实 现 权 限 提 升 ， 可 能 会 组 合 利 用 一 些 漏 洞 ， 这 些 漏 洞 包 括 ： 1 、 任 意 文 件 类 型 创 建 ： 该 漏 洞 可 以 通 过 o r a c l e . u s a g e t r a c k e r . l o g T o F i l e 路 径 实 现 。 例 如 ， 可 以 创 建 一 些 类 似 于 批 处 理 文 件 的 脚 本 。 2 、 参 数 注 入 ： 通 过 o r a c l e . u s a g e t r a c k e r . a d d i t i o n a l P r o p e r t i e s 配 置 来 实 现 。 3 、 本 地 权 限 提 升 ： 通 过 % P r o g r a m D a t a % / O r a c l e / J a v a 中 的 弱 权 限 来 实 现 。 * 本 文 作 者 ： 本 文 作 者 ： e r i d a n u s 9 6 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理