搜索

[14204] 2019-06-08_ApacheTika命令注入漏洞挖掘

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-08_ApacheTika命令注入漏洞挖掘 A p a c h e   T i k a 命 令 注 入 漏 洞 挖 掘 周 大 涛   F r e e B u f   2 0 1 9 - 0 6 - 0 8 介 绍 介 绍 这 篇 文 章 将 从 一 个 这 篇 文 章 将 从 一 个 A p a c h e   t i k a 服 务 器 的 命 令 注 入 漏 洞 到 完 全 利 用 的 步 骤 。 服 务 器 的 命 令 注 入 漏 洞 到 完 全 利 用 的 步 骤 。 C V E 是 是 h t t p s : / / n v d . n i s t . g o v / v u l n / d e t a i l / C V E - 2 0 1 8 - 1 3 3 5 。 由 于 。 由 于 A p a c h e   T i k a 是 开 源 的 ， 我 能 够 通 过 分 析 是 开 源 的 ， 我 能 够 通 过 分 析 A p a c h e   T i k a 代 码 来 确 定 问 题 。 虽 然 命 令 注 入 漏 洞 通 常 很 简 单 ， 但 要 实 现 完 整 的 远 程 代 码 或 命 令 执 行 需 要 克 服 一 些 障 碍 。 这 是 由 于 代 码 来 确 定 问 题 。 虽 然 命 令 注 入 漏 洞 通 常 很 简 单 ， 但 要 实 现 完 整 的 远 程 代 码 或 命 令 执 行 需 要 克 服 一 些 障 碍 。 这 是 由 于 J a v a 处 理 执 行 操 作 系 统 命 令 的 方 式 以 及 处 理 执 行 操 作 系 统 命 令 的 方 式 以 及 A p a c h e   T i k a 代 代 码 本 身 的 一 些 特 性 。 但 在 最 后 ， 我 们 仍 然 可 以 使 用 码 本 身 的 一 些 特 性 。 但 在 最 后 ， 我 们 仍 然 可 以 使 用 C s c r i p t . e x e 来 执 行 操 作 。 来 执 行 操 作 。 什 么 是 什 么 是 A p a c h e   T i k a A p a c h e   T i k a ™ 工 具 包 可 从 超 过 一 千 种 不 同 的 文 件 类 型 （ 如 P P T ， X L S 和 P D F ） 中 检 测 和 提 取 元 数 据 和 文 本 。 所 有 这 些 文 件 类 型 都 可 以 通 过 一 个 接 口 进 行 解 析 ， 使 得 T i k a 对 搜 索 引 擎 索 引 ， 内 容 分 析 ， 翻 译 等 非 常 有 用 。 （ h t t p s : / / t i k a . a p a c h e . o r g / ） A p a c h e   T i k a 有 几 个 不 同 的 组 件 ： J a v a 库 ， 命 令 行 工 具 和 自 带 R E S T   A P I 的 独 立 服 务 器 （ t i k a - s e r v e r ） 。 此 攻 击 特 别 针 对 独 立 服 务 器 ， 它 通 过 R E S T   A P I 公 开 h t t p s : / / w i k i . a p a c h e . o r g / t i k a / T i k a J A X R S 。 样 本 可 在 h t t p s : / / a r c h i v e . a p a c h e . o r g / d i s t / t i k a / t i k a - s e r v e r - 1 . 1 7 . j a r 找 到 。 B r e a k i n g   D o w n   T h e   C V E 我 们 首 先 需 要 阅 读 i s s u e ， 看 看 可 以 从 中 获 取 哪 些 信 息 。 原 始 描 述 ： 在 T i k a   1 . 1 8 之 前 ， 客 户 端 可 以 将 精 心 设 计 的 标 头 发 送 到 t i k a - s e r v e r ， 该 标 头 可 用 于 将 命 令 注 入 运 行 t i k a - s e r v e r 的 服 务 器 的 命 令 行 。 此 漏 洞 仅 影 响 在 对 不 受 信 任 的 客 户 端 开 放 的 服 务 器 上 运 行 t i k a - s e r v e r 的 漏 洞 。 我 们 可 以 从 这 个 描 述 中 看 到 的 事 情 ： 1 . 版 本 1 . 1 8 已 修 补 ； 2 . 版 本 1 . 1 7 未 修 补 ； 3 . 该 漏 洞 是 命 令 注 入 ； 4 . 漏 洞 的 入 口 点 是 “ h e a d e r s ” ； 5 . 这 会 影 响 代 码 的 t i k a - s e r v e r 部 分 。 有 了 这 些 信 息 ， 我 们 现 在 有 了 一 个 识 别 漏 洞 的 起 点 。 下 一 步 将 看 看 T i k a 补 丁 和 未 补 丁 版 本 的 差 异 ， 特 别 是 t i k a - s e r v e r 部 分 。 为 J a v a 中 已 知 的 执 行 操 作 系 统 命 令 的 函 数 编 写 G r e p p i n g 代 码 是 另 一 个 不 错 的 选 择 。 最 后 ， 搜 索 t i k a - s e r v e r 代 码 的 各 个 部 分 ， 我 们 可 以 假 设 这 些 报 头 是 某 种 H T T P 请 求 。 0 x 0 1 对 t i k a - s e r v e r   1 . 1 7 与 1 . 1 8 源 目 录 进 行 并 行 递 归 比 较 。 只 返 回 一 个 已 修 改 的 文 件 ， 如 下 部 分 。 由 于 目 标 是 在 头 字 段 中 找 到 命 令 注 入 ， 所 以 第 一 个 结 果 是 一 个 代 码 块 ， 这 个 代 码 块 已 经 添 加 到 补 丁 版 本 “ A L L O W A B L E H E A D E R C H A R S ” 中 。 这 是 一 个 非 常 好 的 开 始 , 假 设 这 是 补 丁 试 图 过 滤 可 用 于 将 命 令 注 入 头 字 段 的 字 符 。 继 续 向 下 是 一 个 名 为 “ p r o c e s s H e a d e r C o n f i g ” 的 函 数 内 部 的 代 码 ， 它 已 在 1 . 1 8 中 删 除 。 它 使 用 一 些 变 量 来 动 态 创 建 一 个 方 法 ， 该 方 法 似 乎 设 置 了 某 个 对 象 的 属 性 ， 并 使 用 H T T P 头 来 执 行 此 操 作 。 以 下 是 此 功 能 的 说 明 ：
截 图 显 示 了 不 同 属 性 的 前 缀 ， 并 在 此 代 码 的 开 头 定 义 为 静 态 字 符 串 。 因 此 ， 我 们 有 一 些 静 态 字 符 串 可 以 作 为 H T T P 头 文 件 包 含 在 请 求 中 ， 并 用 于 设 置 对 象 的 某 些 属 性 。 最 终 h e a d e r 的 示 例 看 起 来 像 “ X - T i k a - O C R s o m e p r o p e r t y ： s o m e v a l u e ” ， 然 后 将 “ s o m e p r o p e r t y ” 转 换 为 类 似 于 “ s e t S o m e p r o p e r t y ( ) ” 的 函 数 ， 并 将 s o m e v a l u e 作 为 要 设 置 的 值 传 递 给 该 函 数 。 可 以 看 到 这 里 正 在 使 用 这 个 函 数 ， 并 且 在 请 求 中 检 查 了 前 缀 头 以 确 定 如 何 调 用 该 函 数 。 然 后 ， 所 有 需 要 的 参 数 都 从 H T T P 请 求 传 递 到 “ p r o c e s s H e a d e r C o n f i g ” 函 数 。 查 看 使 用 “ p r o c e s s H e a d e r C o n f i g ” 函 数 的 方 式 ， 可 以 看 到 正 在 “ T e s s e r a c t O C R C o n f i g ” 对 象 上 设 置 属 性 。 搜 索 可 能 使 用 我 们 发 现 的 “ T e s s e r a c t O C R C o n f i g ” 对 象 的 地 方 ： t i k a - p a r s e r s / s r c / m a i n / j a v a / o r g / a p a c h e / t i k a / p a r s e r / o c r / T e s s e r a c t O C R P a r s e r . j a v a 。 这 是 来 自 “ T e s s e r a c t O C R P a r s e r . j a v a ” 的 “ d o O C R ” 函 数 ， 它 将 配 置 属 性 从 我 们 刚 刚 发 现 的 “ T e s s e r a c t O C R C o n f i g ” 对 象 直 接 传 递 到 一 个 字 符 串 数 组 中 ， 这 些 字 符 串 用 于 构 造 “ P r o c e s s B u i l d e r ” 的 命 令 ， 然 后 该 过 程 已 开 始 。 这 看 起 来 很 有 希 望 , 如 果 我 们 将 所 有 信 息 放 在 一 起 ， 我 们 应 该 能 够 向 服 务 器 发 出 某 种 H T T P 请 求 ， 设 置 一 个 看 起 来 像 “ X - T i k a - O C R T e s s e r a c t P a t h ： ” 的 标 题 。 并 将 此 命 令 插 入 c m d 字 符 串 并 执 行 。 唯 一 的 问 题 是 “ c o n f i g . g e t T e s s e r a c t P a t h ( ) ” 前 缀 为 另 一 个 我 们 无 法 控 制 的 字 符 “ g e t T e s s e r a c t P r o g ( ) ” ， 最 终 是 一 个 静 态 字 符 串 “ t e s s e r a c t . e x e ” 。 为 了 解 决 这 个 问 题 ， 我 们 可 以 用 双 引 号 包 装 我 们 想 要 执 行 的 命 令 ， W i n d o w s 将 忽 略 引 号 后 附 加 的 任 何 内 容 ， 只 执 行 我 们 的 注 入 的 命 令 。 为 了 进 行 测 试 ， 我 们 可 以 使 用 t i k a - s e r v e r 文 档 中 的 示 例 来 检 索 有 关 文 件 的 一 些 元 数 据 。 由 于 O C R 用 于 从 图 像 中 提 取 文 本 和 内 容 ， 我 们 将 上 传 图 像 而 不 是 d o c x ， 以 期 有 望 达 到 “ d o O C R ” 功 能 。 我 们 最 终 得 到 ： 在 上 传 图 像 时 ， 通 过 在 P U T 请 求 中 将 一 个 命 令 用 双 引 号 括 起 来 作 为 “ X - T i k a - O C R T e s s e r a c t P a t h ” H T T P 头 的 值 来 标 识 命 令 注 入 。 0 x 0 2   不 仅 仅 是 弹 个 计 算 器 不 仅 仅 是 弹 个 计 算 器 c u r l   - T   t e s t . t i f f   h t t p : / / l o c a l h o s t : 9 9 9 8 / m e t a   - - h e a d e r   " X - T i k a - O C R T e s s e r a c t P a t h :   " c a l c . e x e " "
我 们 直 接 更 改 正 在 执 行 的 应 用 程 序 名 称 。 由 于 该 命 令 作 为 数 组 传 递 给 J a v a   P r o c e s s B u i l d e r ， 因 此 我 们 实 际 上 不 能 运 行 多 个 命 令 ， 也 不 能 将 参 数 作 为 单 个 字 符 串 添 加 到 命 令 中 ， 否 则 执 行 将 失 败 。 这 是 因 为 将 一 组 字 符 串 传 递 给 J a v a 中 的 进 程 构 建 器 或 r u n t i m e . e x e c 的 工 作 方 式 如 下 ： 通 常 像 c m d . e x e 或 / b i n / s h 这 样 的 s h e l l 解 释 的 字 符 （ 例 如 ＆ ， < ， > ， | ， ` 等 ） 不 会 被 P r o c e s s B u i l d e r 解 释 并 且 将 被 忽 略 ， 因 此 您 不 能 中 断 命 令 或 添 加 任 何 将 它 作 为 单 个 字 符 串 的 参 数 。 不 像 “ X - T i k a - O C R T e s s e r a c t P a t h :   “ c m d . e x e   / c   s o m e   a r g s ” 这 样 简 单 。 回 到 “ c m d ” 数 组 的 构 造 ， 您 可 以 看 到 我 们 也 控 制 了 命 令 中 的 多 个 参 数 ， 这 是 每 个 看 起 来 像 “ c o n f i g . g e t * ( ) ” 的 项 ， 但 是 它 被 一 些 我 们 不 控 制 的 其 他 项 分 割 开 了 。 我 的 第 一 个 想 法 是 运 行 “ c m d . e x e ” ， 然 后 将 参 数 “ / c ” 作 为 “ c o n f i g . g e t L a n g u a g e ( ) ” 传 入 ， 然 后 将 “ | |   s o m e c o m m a n d   | | ” 作 为 “ c o n f i g . g e t P a g e S e g M o d e ( ) ” 插 入 ， 这 虽 然 可 以 执 行 “ s o m e c o m m a n d ” 。 但 是 在 调 用 ｀ “ d o O C R ” ｀ 之 前 ， 还 有 另 一 个 函 数 在 ｀ “ c o n f i g . g e t T e s s e r a c t P a t h ( ) ” ｀ 字 符 串 上 调 用 ， 该 字 符 串 只 执 行 该 命 令 （ 目 的 是 检 查 是 否 被 调 用 的 应 用 程 序 是 有 效 的 应 用 程 序 ） 。 这 里 的 问 题 是 只 运 行 没 有 参 数 的 “ c m d . e x e ” 并 一 直 挂 起 ， 因 为 “ c m d . e x e ” 永 远 不 会 退 出 并 让 执 行 继 续 执 行 “ d o O C R ” 功 能 。 0 x 0 3   解 决 方 案 解 决 方 案 除 了 运 行 单 个 命 令 外 ， 我 们 可 以 更 深 入 地 了 解 “ d o O C R ” 函 数 使 用 P r o c e s s   M o n i t o r 启 动 进 程 时 会 发 生 什 么 。   查 看 进 程 的 属 性 ， 当 t i k a - s e r v e r 启 动 它 时 ， 会 生 成 以 下 命 令 行 ， 该 命 令 行 是 使 用 i n j e c t 命 令 构 造 的 。 我 们 控 制 的 命 令 部 分 以 红 色 突 出 显 示 。 我 们 可 以 在 命 令 中 注 入 3 个 地 方 ， 1 个 命 令 和 2 个 参 数 。 另 一 个 有 趣 的 发 现 是 T i k a 实 际 上 创 建 了 2 个 临 时 文 件 ， 其 中 一 个 作 为 第 一 个 参 数 被 传 递 。 经 过 一 些 进 一 步 的 调 查 后 ， 我 能 够 确 认 传 递 给 命 令 的 第 一 个 临 时 文 件 是 我 上 传 的 文 件 中 的 内 容 。 这 意 味 着 我 可 以 用 一 些 代 码 或 命 令 填 充 该 文 件 并 执 行 它 。 现 在 我 必 须 找 到 一 个 原 生 的 W i n d o w s 应 用 程 序 ， 它 将 忽 略 t i k a - s e r v e r 创 建 的 所 有 随 机 杂 散 参 数 ， 并 仍 然 执 行 第 一 个 文 件 内 容 作 为 某 种 命 令 或 代 码 ， 即 使 它 具 有 “ . t m p ” 扩 展 名 。 找 到 一 些 可 以 做 到 这 一 切 的 事 情 起 初 对 我 来 说 听 起 来 不 太 可 能 。 最 后 我 发 现 了 C s c r i p t . e x e ， 它 看 起 来 有 点 希 望 。 我 们 来 看 看 C s c r i p t 可 以 做 些 什 么 。 C s c r i p t 正 是 我 们 所 需 要 的 。 它 将 第 一 个 参 数 作 为 脚 本 ， 并 允 许 您 使 用 " / / E : e n g i n e " 标 志 来 指 定 要 使 用 的 脚 本 引 擎 （ 可 能 是 J s c r i p t 或 V B S ） ， 因 此 文 件 扩 展 名 无 关 紧 要 。 将 它 放 入 新 命 令 现 在 看 起 来 如 下 所 示 。 这 可 以 通 过 设 置 以 下 H T T P 标 头 来 完 成 ： 将 上 传 的 “ i m a g e ” 文 件 将 包 含 一 些 J s c r i p t 或 V B S ： 首 先 ， 上 传 失 败 ， 因 为 它 不 是 有 效 图 片 ， 无 法 验 证 图 像 的 魔 术 字 节 。 然 后 我 发 现 将 内 容 类 型 设 置 为 “ i m a g e / j p 2 ” 迫 使 T i k a 不 检 查 图 像 中 的 魔 术 字 节 ， 但 仍 然 通 过 O C R 处 理 图 像 。 这 允 许 上 载 包 含 J s c r i p t 的 图 像 。 最 后 ， 将 所 有 这 些 放 在 一 起 ， 我 们 有 完 整 的 c o m m a n d / j s c r i p t / v b s 脚 本 。 " c a l c . e x e " t e s s e r a c t . e x e   C : U s e r s T e s t A p p D a t a L o c a l T e m p a p a c h e - t i k a - 3 2 9 9 1 2 4 4 9 3 9 4 2 9 8 5 2 9 9 . t m p   C : U s e r s T e s t A p p D a t a L o c a l T e m p a p a c h e - t i k a - 7 3 1 7 8 6 0 6 4 6 0 8 2 3 3 8 9 5 3 . t m p   - l   e n g   - p s m   " c s c r i p t . e x e " t e s s e r a c t . e x e   C : U s e r s T e s t A p p D a t a L o c a l T e m p a p a c h e - t i k a - 3 2 9 9 1 2 4 4 9 3 9 4 2 9 8 5 2 9 9 . t m p   C : U s e r s T e s t A p p D a t a L o c a l T e m p a p a c h e - t i k a - 7 3 1 7 8 6 0 6 4 6 0 8 2 3 3 8 9 5 3 . t m p   - l   / / E : J s c r i p t   - p s m   1   t x t   - c   p r e s e r v e _ i n t e r w o r d _ s p a c e s = 0 X - T i k a - O C R T e s s e r a c t P a t h :   " c s c r i p t . e x e " X - T i k a - O C R L a n g u a g e :   / / E : J s c r i p t v a r   o S h e l l   =   W S c r i p t . C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) ; v a r   o E x e c   =   o S h e l l . E x e c ( ' c m d   / c   c a l c . e x e ' ) ;
结 论 结 论 虽 然 这 是 一 个 简 单 的 命 令 注 入 ， 但 为 了 利 用 ， 还 是 需 要 尝 试 各 种 方 法 的 。 A p a c h e 不 建 议 在 不 受 信 任 的 环 境 中 运 行 T i k a 服 务 器 或 将 其 暴 露 给 不 受 信 任 的 用 户 。 此 错 误 也 已 修 补 ， 当 前 版 本 为 1 . 2 0 ， 因 此 如 果 您 使 用 此 服 务 ， 请 确 保 更 新 。 P o C ： h t t p s : / / g i t h u b . c o m / R h i n o S e c u r i t y L a b s / C V E s / t r e e / m a s t e r / C V E - 2 0 1 8 - 1 3 3 5 * 参 考 来 源 ： 参 考 来 源 ： r h i n o s e c u r i t y l a b s ， ， F B 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 小 编 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理