搜索

[16250] 2020-12-26_CheckpointICA管理工具漏洞研究

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-12-26_CheckpointICA管理工具漏洞研究 C h e c k p o i n t   I C A 管 理 工 具 漏 洞 研 究 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 2 6 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 分 析 我 们 在 C h e c k p o i n t 安 全 管 理 套 件 中 发 现 的 多 个 安 全 漏 洞 ， 这 个 组 件 在 很 多 C h e c k P o i n t 产 品 中 都 有 使 用 ， 它 就 是 C h e c k p o i n t   I C A   管 理 工 具 。 C h e c k p o i n t   I C A   管 理 工 具 可 以 帮 助 我 们 管 理 下 列 用 户 证 书 ： 运 行 搜 索 重 新 创 建 C R L s 配 置 I C A 删 除 过 期 的 证 书 默 认 配 置 下 ， 这 个 服 务 是 关 闭 的 ， 我 们 需 要 使 用 内 置 实 用 程 序 c p c a _ c l i e n t 来 开 启 该 服 务 ： 需 要 注 意 的 是 ， 如 果 我 们 运 行 该 命 令 ， 任 意 用 户 将 可 以 在 未 经 身 份 验 证 的 情 况 下 使 用 该 服 务 。 因 此 ， 我 们 建 议 仅 使 用 S S L 运 行 此 服 务 。 可 以 使 用 下 列 命 令 和 预 先 生 成 的 证 书 来 启 用 S S L ： 启 用 该 组 件 之 后 ， 即 可 通 过 访 问 “ h t t p : / / : 1 8 2 6 5 / ” 地 址 来 访 问 I C A 管 理 工 具 的 W e b 接 口 。 在 这 里 ， 我 们 需 要 在 不 使 用 S S L 的 情 况 下 启 用 该 组 件 。 在 我 们 分 析 I C A 管 理 工 具 的 过 程 中 ， 我 们 发 现 了 下 面 这 两 个 漏 洞 。 c p c a _ c l i e n t   s e t _ m g m t _ t o o l   o n   - n o _ s s l c p c a _ c l i e n t   s e t _ m g m t _ t o o l   o n   - u   < y o u r   c e r t i f i c a t e >
参 数 注 入 漏 洞 参 数 注 入 漏 洞 第 一 个 漏 洞 类 似 于 命 令 注 入 漏 洞 ， 攻 击 者 可 以 在 向 目 标 应 用 程 序 传 递 参 数 时 ， 注 入 或 插 入 自 定 义 命 令 。 我 们 在 分 析 过 程 中 ， 能 够 利 用 该 漏 洞 在 调 用 内 部 系 统 命 令 时 注 入 带 有 自 定 义 参 数 的 命 令 并 成 功 执 行 。 W e b 接 口 的 一 个 显 著 特 征 就 是 能 够 向 用 户 发 送 关 于 证 书 初 始 化 的 通 知 消 息 ， 同 时 仍 然 保 留 了 修 改 标 准 电 子 邮 件 H e a d e r 的 功 能 ， 比 如 说 发 件 人 、 收 件 人 、 主 题 和 邮 件 服 务 器 地 址 等 等 。 一 开 始 ， 曾 有 人 试 图 将 S h e l l 命 令 作 为 参 数 注 入 到 邮 件 服 务 器 地 址 参 数 中 ， 这 类 似 于 通 过 不 正 确 的 输 入 验 证 来 利 用 错 误 的 “ p i n g ” 命 令 ， 但 实 际 上 这 种 方 式 无 法 当 作 / b i n / s h 命 令 执 行 。 接 下 来 ， 我 们 需 要 研 究 和 确 定 负 责 发 送 邮 件 的 进 程 ， 其 中 一 个 有 可 能 的 进 程 名 为 “ c p c a ” ， 因 为 它 监 听 的 是 1 8 2 6 5 号 端 口 。 通 过 字 符 串 搜 索 ， 我 们 发 现 并 确 定 了 负 责 跟 邮 件 发 送 交 互 的 代 码 ， 它 就 是 我 们 的 目 标 。 需 要 注 意 的 是 ， c p c a 二 进 制 文 件 中 包 含 了 字 符 串 “ s e n d _ m a i l _ f i l e . t x t ” ， 这 也 表 明 了 它 拥 有 发 送 附 件 的 能 力 。 在 这 里 ， 我 们 必 须 深 入 了 解 s e n d m a i l 的 命 令 行 参 数 ， 才 能 构 造 出 相 应 的 注 入 字 符 串 。 即 便 如 此 ， 我 们 仍 然 无 法 推 测 出 已 执 行 命 令 行 参 数 的 顺 序 ， 因 此 我 们 必 须 另 辟 蹊 径 。 这 里 ， 我 们 选 择 将 s e n d m a i l 的 命 令 行 参 数 添 加 在 W e b 界 面 的 参 数 中 ， 通 过 日 志 记 录 我 们 可 以 确 定 ， 在 参 数 注 入 时 指 定 的 服 务 器 文 件 已 发 送 到 攻 击 者 控 制 的 邮 件 服 务 器 。 如 需 利 用 该 漏 洞 ， 我 们 需 要 使 用 n c 监 听 本 地 端 口 2 5 ， 然 后 在 配 置 C A 证 书 时 ， 我 们 需 要 将 管 理 工 具 邮 件 服 务 器 设 置 为 “ 1 2 7 . 0 . 0 . 1   - m   / e t c / s h a d o w ％ 0 a ％ 0 a ” ， 这 里 需 要 注 意 的 是 ， 字 段 结 尾 不 应 该 出 现 “ n n ” 。 接 下 来 ， 我 们 需 要 发 送 一 个 请 求 来 触 发 邮 件 的 发 送 ， c e r t s 参 数 中 包 含 了 证 书 I D 以 及 邮 件 状 态 。 s e n d m a i l   [ - t   s e r v e r ]   [   [ - m   f i l e n a m e ]     |   [ - s   s u b j e c t ]   [ - f   f r o m ]   e m a i l - a d d r e s s ]
如 下 图 所 示 ， / e t c / s h a d o w 中 的 内 容 已 发 送 到 n c 所 监 听 的 2 5 端 口 了 ： 拒 绝 服 务 漏 洞 拒 绝 服 务 漏 洞 这 个 组 件 中 的 拒 绝 服 务 漏 洞 是 由 于 没 有 对 用 户 输 入 数 据 进 行 验 证 所 导 致 的 ， 如 果 远 程 客 户 端 发 送 了 特 殊 构 造 的 P O S T 请 求 ， 并 且 该 请 求 的 主 体 以 一 种 不 正 常 的 方 式 格 式 化 的 话 ， 将 会 导 致 程 序 意 外 关 闭 。 为 了 验 证 该 漏 洞 ， 我 们 生 成 了 下 列 P O S T 请 求 ： 接 收 到 这 个 请 求 之 后 ， c p c a 将 会 崩 溃 。 P O S T   / f i l e _ i n i t ? _   H T T P / 1 . 1 H o s t :   c h e c k p o i n t . h o s t : 1 8 2 6 5 C o o k i e :   _ C o n t e n t - L e n g t h :   1 q
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理