搜索

[15135] 2020-03-15_利用Jira的邮件服务器连通测试功能发现其CSRF漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-03-15_利用Jira的邮件服务器连通测试功能发现其CSRF漏洞 利 用 J i r a 的 邮 件 服 务 器 连 通 测 试 功 能 发 现 其 C S R F 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 3 - 1 5 去 年 去 年 1 0 月 ， 月 ， T e n a b l e 研 究 员 发 现 研 究 员 发 现 J i r a   v 8 . 4 . 1 版 本 存 在 一 个 跨 站 请 求 伪 造 漏 洞 （ 版 本 存 在 一 个 跨 站 请 求 伪 造 漏 洞 （ C S R F ） ） - C V E - 2 0 1 9 - 2 0 0 9 9 ， 籍 此 ， 籍 此 可 以 让 目 标 可 以 让 目 标 J i r a 服 务 去 连 接 任 意 内 部 主 机 ， 服 务 去 连 接 任 意 内 部 主 机 ， A t l a s s i a n   J i r a 受 该 漏 洞 影 响 的 版 本 范 围 为 受 该 漏 洞 影 响 的 版 本 范 围 为 8 . 7 . 0 到 到 8 . 2 . 4 之 间 的 之 间 的 J i r a S e r v e r   和 和   D a t a   C e n t e r 。 以 下 即 是 具 体 发 现 。 以 下 即 是 具 体 发 现 C V E - 2 0 1 9 - 2 0 0 9 9 漏 洞 的 过 程 。 漏 洞 的 过 程 。 J i r a 部 署 的 防 部 署 的 防 C S R F 策 略 策 略 跨 站 请 求 伪 造 （ C S R F ） 攻 击 可 以 无 需 他 人 授 权 ， 假 冒 他 人 身 份 发 起 恶 意 操 作 。 为 了 防 止 此 类 攻 击 行 为 ， J i r a 在 客 户 端 某 H t t p O n l y   C o o k i e 中 部 署 了 C S R F   t o k e n ， 因 此 ， 对 于 执 行 状 态 更 改 的 操 作 请 求 ， J i r a 服 务 端 会 检 查 其 中 的 t o k e n 是 否 与 C S R F   C o o k i e 和 C S R F 参 数 中 的 t o k e n 匹 配 ， 这 样 一 来 ， 攻 击 者 就 很 难 重 用 c o o k i e 发 起 C S R F 攻 击 。 并 且 ， 其 中 的 R e f e r e r   h e a d e r 头 信 息 还 可 验 证 与 J i r a 服 务 端 的 域 名 和 端 口 一 致 性 ， 防 止 同 源 策 略 绕 过 操 作 。 下 图 就 是 我 对 J i r a 服 务 端 发 起 的 P O S T 示 例 请 求 ， 也 就 是 从 该 请 求 中 我 发 现 了 漏 洞 所 在 。 其 中   C S R F   c o o k i e   和 C S R F 参 数 分 别 是 A t l a s s i a n . x s r f . t o k e n 和 a t l _ t o k e n ， 还 包 括 了 与 J i r a 服 务 端 I P 和 端 口 匹 配 的 R e f e r e r   h e a d e r 头 信 息 。 经 过 多 次 测 试 ， 我 发 现 J i r a 服 务 端 并 不 总 是 会 去 校 验 上 述 这 些 验 证 性 信 息 的 值 。
漏 洞 问 题 漏 洞 问 题 这 里 我 们 以 内 网 中 J i r a 架 构 邮 件 服 务 为 例 进 行 测 试 。 在 J i r a 中 部 署 P O P 3 邮 件 服 务 时 需 要 管 理 员 提 交 完 整 的 邮 件 服 务 配 置 信 息 ， 如 服 务 器 名 称 、 主 机 地 址 、 端 口 号 、 用 户 凭 据 等 等 ， 在 底 部 有 两 个 按 钮 ， 一 个 是 新 建 邮 服 请 求 ， 一 个 是 测 试 当 前 建 立 邮 服 的 连 通 性 。 注 意 ， 由 于 这 里 是 内 网 ， 所 以 这 里 的 邮 件 服 务 器 主 机 地 址 就 是 内 网 地 址 。 邮 服 连 通 性 测 试 操 作 会 让 J i r a 服 务 端 去 连 接 给 定 的 P O P 3 邮 件 服 务 器 地 址 ， 该 过 程 中 会 涉 及 到 一 个 密 码 交 换 过 程 。 当 我 测 试 该 测 试 请 求 时 发 现 ， 其 中 的 R e f e r e r   h e a d e r 头 信 息 和 C S R F 参 数 校 验 都 未 执 行 ， 所 以 ， 这 样 一 来 ， 如 果 要 对 该 请 求 实 施 C S R F 攻 击 ， 那 么 唯 一 需 要 的 仅 只 是 重 用 当 前 已 登 录 J i r a 系 统 的 管 理 员 C o o k i e 。 为 了 测 试 该 请 求 ， 我 特 意 设 置 了 一 个 内 网 的 P O P 3 邮 件 服 务 器 以 便 接 收 来 自 J i r a 服 务 端 的 验 证 连 接 ， 另 外 我 还 架 设 了 一 个 内 网 W e b 服 务 器 用 来 托 管 与 C S R F 脚 本 相 关 的 网 页 。 目 的 在 于 模 拟 J i r a 系 统 管 理 员 点 击 了 某 个 恶 意 链 接 后 ， 被 进 行 会 话 C o o k i e 重 用 ， 请 求 J i r a 服 务 端 发 起 针 对 我 设 置 的 邮 件 服 务 器 的 连 通 测 试 。 以 下 是 触 发 J i r a 服 务 端 发 起 测 试 邮 服 连 通 请 求 的 C S R F 脚 本 :
以 下 就 是 该 C S R F 脚 本 运 行 后 ， 执 行 的 对 预 定 邮 服 1 7 2 . 1 6 . 6 8 . 2 2 9 的 连 通 性 测 试 W i r e s h a r k 包 图 ： 这 样 ， 当 受 害 者 1 7 2 . 1 6 . 6 8 . 1 对 J i r a 服 务 端 1 7 2 . 1 6 . 6 8 . 2 4 8 发 送 了 一 个 P O S T 请 求 后 ， 接 着 ， 会 起 发 针 对 预 设 邮 件 服 务 器 1 7 2 . 1 6 . 6 8 . 2 2 9 : 1 1 0 的 连 通 测 试 ， 这 是 一 个 密 码 凭 据 交 换 验 证 过 程 ， 如 果 密 码 凭 据 验 证 不 通 过 ， 则 连 接 终 止 。 不 过 ， 利 用 该 脚 本 ， 我 可 以 让 J i r a 服 务 端 去 连 接 我 自 己 设 定 的 主 机 和 端 口 。 P O P 3 邮 服 的 连 接 验 证 请 求 需 要 在 P O S T 请 求 的 参 数 中 设 置 用 户 名 和 密 码 信 息 ， 当 请 求 实 现 成 功 握 手 后 ， 这 些 参 数 会 被 发 送 到 指 定 的 主 机 和 端 口 ， 这 也 就 提 供 了 一 种 机 制 ， 攻 击 者 可 以 通 过 这 种 渠 道 向 邮 服 主 机 发 送 消 息 或 命 令 实 现 主 机 监 听 。 利 用 漏 洞 执 行 内 网 主 机 探 测 发 现 利 用 漏 洞 执 行 内 网 主 机 探 测 发 现 X M L H t t p R e q u e s t 对 象 存 在 一 个 r e a d y S t a t e 属 性 ， 它 和 o n r e a d y s t a t e c h a n g e 事 件 一 起 使 用 ， r e a d y S t a t e 属 性 包 含 了 0 到 4 之 间 的 不 同 状 态 表 示 值 ， 如 下 ： r e a d y S t a t e 属 性 值 每 次 发 生 变 化 时 ， 都 会 调 用 o n r e a d y s t a t e c h a n g e 事 件 进 行 处 理 ， 为 此 我 在 上 述 脚 本 中 对 X M L H t t p R e q u e s t 的 s t a t e 属 性 变 化 加 入 了 a l e r t 方 法 ， 以 便 每 次 状 态 改 变 时 能 有 所 提 醒 。 目 的 在 于 观 察 请 求 去 连 接 不 同 主 机 和 端 口 号 时 的 状 态 变 化 差 异 。 我 在 上 述 脚 本 中 加 入 了 以 下 s t a t e 状 态 转 化 跟 踪 代 码 ：
当 J i r a 服 务 端 试 图 去 连 接 一 个 内 网 不 存 在 的 I P 地 址 时 ， 其 X M L H t t p R e q u e s t 请 求 的 s t a t e 属 性 会 从 1 到 4 变 化 ， 从 而 去 调 用 o n r e a d y s t a t e c h a n g e 事 件 ， 而 只 有 当 连 接 终 止 结 束 后 ， 原 始 的 P O S T 请 求 才 会 得 到 相 应 的 响 应 ， 这 个 过 程 会 花 费 3 秒 左 右 （ 约 3 0 0 0 多 毫 秒 ） 的 时 间 完 成 。 P o C 最 终 我 写 了 一 段 P o C 脚 本 来 让 J i r a 服 务 端 以 测 试 邮 件 服 务 器 连 通 性 的 C S R F 操 作 去 执 行 内 网 主 机 探 测 ， 当 然 ， 我 把 其 中 的 邮 件 服 务 器 地 址 设 置 为 了 一 段 内 网 I P 地 址 ， 请 求 端 口 为 1 1 0 。 运 行 P o C 脚 本 后 可 以 发 现 ， 那 些 花 费 3 0 0 0 多 毫 秒 的 主 机 I P 是 不 存 在 的 内 网 I P 地 址 ， 只 有 少 量 耗 时 的 I P 才 是 存 在 I P ， 如 下 ： 为 了 验 证 上 述 发 现 结 果 ， 我 又 用 n m a p 进 行 了 扫 描 ， 果 然 发 现 结 果 相 同 ： 在 以 下 我 用 W i r e s h a r k 抓 包 的 图 片 中 可 以 发 现 ， P o C 脚 本 会 让 J i r a 服 务 端 去 连 接 指 定 的 I P 主 机 端 口 ， 而 且 ， 还 可 以 在 之
前 用 来 进 行 凭 据 交 换 的 用 户 字 段 中 填 入 任 意 消 息 ， 发 送 给 连 接 的 指 定 I P 主 机 。 总 结 总 结 这 是 J i r a 服 务 端 连 接 邮 件 服 务 器 功 能 的 一 个 C S R F 漏 洞 ， 我 利 用 它 可 以 执 行 内 网 主 机 和 端 口 的 扫 描 探 测 。 可 利 用 场 景 是 ， 针 对 J i r a 管 理 员 构 造 恶 意 链 接 迷 惑 其 点 击 执 行 ， 实 现 针 对 其 内 网 的 主 机 端 口 枚 举 探 测 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理