搜索

[2081] 2018-04-13_CVE-2018-7600Drupal核心远程代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-04-13_CVE-2018-7600Drupal核心远程代码执行漏洞分析 C V E - 2 0 1 8 - 7 6 0 0   D r u p a l   核 心 远 程 代 码 执 行 漏 洞 分 析 I v a n   d o t N e t 安 全 研 究 僧   2 0 1 8 - 0 4 - 1 3 0 x 0 1   漏 洞 介 绍 漏 洞 介 绍 D r u p a l 是 一 个 开 源 内 容 管 理 系 统 （ C M S ） ， 全 球 超 过 1 0 0 万 个 网 站 （ 包 括 政 府 ， 电 子 零 售 ， 企 业 组 织 ， 金 融 机 构 等 ） 使 用 。 两 周 前 ， 两 周 前 ， D r u p a l 安 全 团 队 披 露 了 一 个 非 常 关 键 的 漏 洞 ， 编 号 安 全 团 队 披 露 了 一 个 非 常 关 键 的 漏 洞 ， 编 号 C V E - 2 0 1 8 - 7 6 0 0   D r u p a l 对 表 单 请 求 内 容 未 做 严 格 过 对 表 单 请 求 内 容 未 做 严 格 过 滤 ， 因 此 ， 这 使 得 攻 击 者 可 能 将 恶 意 注 入 表 单 内 容 ， 此 漏 洞 允 许 未 经 身 份 验 证 的 攻 击 者 在 默 认 或 常 见 的 滤 ， 因 此 ， 这 使 得 攻 击 者 可 能 将 恶 意 注 入 表 单 内 容 ， 此 漏 洞 允 许 未 经 身 份 验 证 的 攻 击 者 在 默 认 或 常 见 的 D r u p a l 安 装 安 装 上 执 行 远 程 代 码 执 行 。 上 执 行 远 程 代 码 执 行 。 0 x 0 2   漏 洞 分 析 漏 洞 分 析 D r u p a l 渲 染 数 组 的 情 况 有 页 面 加 载 和 A j a x 表 单 发 出 的 请 求 ， 在 这 里 A j a x   A P I 调 用 是 攻 击 者 最 佳 的 选 择 。 那 么 作 为 用 户 注 册 表 单 的 一 部 分 ， 图 片 字 段 使 用 A j a x A P I 将 图 片 上 传 到 服 务 器 ， 并 且 生 成 缩 略 图 查 阅 了 相 关 文 档 资 料 现 在 ， 我 们 所 要 做 的 就 是 注 入 一 个 恶 意 渲 染 数 组 ， 该 数 组 使 用 D r u p a l 的 渲 染 回 调 方 法 在 系 统 上 执 行 代 码 。 有 几 个 属 性 我 们 可 以 注 入 ： ·                 # a c c e s s _ c a l l b a c k   由 D r u p a l 使 用 来 确 定 当 前 用 户 是 否 有 权 访 问 元 素 。 ·                 # p r e _ r e n d e r   在 渲 染 之 前 操 作 渲 染 数 组 。 ·                 # p o s t _ r e n d e r   接 收 渲 染 过 程 的 结 果 并 在 其 周 围 添 加 包 装 。 ·                 # l a z y _ b u i l d e r   用 于 在 渲 染 过 程 的 最 后 添 加 元 素 。   # a c c e s s _ c a l l b a c k   标 签 虽 然 c a l l b a c k 回 调 函 数 可 控 ， 但 需 要 回 调 处 理 的 字 符 串 不 可 控 ， 导 致 无 法 利 用 。 以 下 场 景 以 p o s t _ r e n d e r 和 l a z y _ b u i l d e r 为 例 2 . 1 、 漏 洞 场 景 1 ： 引 入 # p o s t _ r e n d e r
# p o s t _ r e n d e r 这 个 A P I 标 签 可 以 被 所 有 的 元 素 和 表 单 使 用 ， 它 是 在 d r u p a l _ r e n d e r ( ) 方 法 中 调 用 ， 可 以 渲 染 当 前 元 素 和 子 元 素 ， 也 可 对 内 容 进 行 修 改 。                                                       例 子 中 $   e l e m e n t 通 过 调 用 a d m i n _ f o r m _ h t m l _ c l e a n u p 函 数 处 理 返 回 处 理 后 的 结 果 。 再 来 看 可 以 触 发 攻 击 载 荷 的 代 码 ， 在 渲 染 的 过 程 中 调 用 了 c a l l _ u s e r _ f u n c 进 行 回 调 处 理 ， 但 $ c a l l a b l e   回 调 函 数 通 过 表 单 伪 造 ， $ e l e m e n t s 的 子 元 素 同 样 也 是 通 过 表 单 可 控   攻 击 者 利 用 攻 击 载 荷   m a i l [ # p o s t _ r e n d e r ] [ ] = p a s s t h r u & m a i l [ # t y p e ] = m a r k u p & m a i l [ # m a r k u p ] = w h o a m i ， 这 里 的 # m a r k u p 是 当 前 元 素 # t y p e 的 子 元 素 ， 通 过 数 组 的 方 式 传 入 值 ， 执 行 过 程 如 图 魔 术 方 法 _ _ t o S t r i n g 得 到 $ t h i s - > s t r i n g 等 于 w h o a m i   ， 带 入 到 c a l l _ u s e r _ f u n c 中 交 给 p a s s t h r u 函 数 执 行 ， 导 致 漏 洞 触 发   P H P 内 置 函 数 p a s t h r u 执 行 后 会 回 显 结 果
2 . 2 、 漏 洞 场 景 、 漏 洞 场 景 2 ： 引 入 ： 引 入 # l a z y _ b u i l d e r # l a z y _ b u i l d e r   可 选 ， 数 组 值 ， 必 须 有 且 只 有 两 个 元 素 ， 一 个 是 回 调 函 数 名 ， 一 个 回 调 的 参 数 ， 参 数 只 能 是 N U L L 或 者 标 量 类 型 $ c a l l a b l e 变 量 取 # l a z y _ b u i l d e r 元 素 标 签 数 组 下 标 0 的 值 作 为 回 调 函 数 名 ， 取 数 组 下 标 1 的 值 当 回 调 方 法 的 参 数 ，   下 面 攻 击 载 荷 调 用 P o w e r S h e l l   远 程 下 载 文 件 到 本 地 保 存 为 p h p 网 页 后 门 ， 代 码 如 下 图 我 们 传 入 的 l a z y _ b u i l d e r [ 0 ] 和 l a z y _ b u i l d e r [ 1 ] 的 值 在 渲 染 的 时 候 用 c a l l _ u s e r _ f u n c _ a r r a y 完 成 整 个 攻 击 过 程 整 个 漏 洞 的 产 生 过 程 都 是 因 为 c a l l _ u s e r _ f u n c 或 者 c a l l _ u s e r _ f u n c _ a r r a y 等 回 调 函 数 导 致 的 任 意 代 码 执 行 ， A P I 元 素 标 签 中 可 能 还 会 触 发 漏 洞 的 标 签 有 # t h e m e   、 # c r e a t e _ p l a c e h o l d e r 、 # t h e m e _ w r a p p e r s 等 等 。
0 x 0 4   缓 解 措 施 缓 解 措 施 官 方 在 最 新 版 本 8 . 5 . 1 中 增 加 了 下 图 方 法 对 请 求 的 G E T 、 P O S T 、 C O O K I E   进 行 过 滤 处 理 希 望 广 大 用 户 尽 快 升 级 到 最 新 版 本 D r u p a l   8 . 5 . 1   ，   下 载 地 址 ： h t t p s : / / w w w . d r u p a l . o r g / p r o j e c t / d r u p a l / r e l e a s e s / 8 . 5 . 1   0 x 0 5   R e f e r e n c e h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / u n c o v e r i n g - d r u p a l g e d d o n - 2 / h t t p s : / / g i t h u b . c o m / g 0 r x / C V E - 2 0 1 8 - 7 6 0 0 - D r u p a l - R C E / b l o b / m a s t e r / e x p l o i t . p y
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理