搜索

[1088] 2020-04-07_CVE-2020-10189ZohoManageEngine反序列化RCE

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-16
2020-04-07_CVE-2020-10189ZohoManageEngine反序列化RCE C V E - 2 0 2 0 - 1 0 1 8 9   Z o h o   M a n a g e E n g i n e 反 序 列 化 R C E C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 0 4 - 0 7 漏 洞 描 述 在 3 月 6 日 ， @ s t e v e n t s e e l e y   在 t w i t t e r 上 发 布 了 关 于   Z o h o   企 业 产 品   Z o h o   M a n a g e E n g i n e   D e s k t o p   C e n t r a l   中 的 反 序 列 化 远 程 代 码 执 行 漏 洞 。 该 产 品 是 一 款 基 于   W e b   的 企 业 级 服 务 器 、 桌 面 机 及 移 动 设 备 管 理 软 件 ， 可 对 桌 面 机 以 及 移 动 设 备 管 理 的 整 个 生 命 周 期 提 供 完 全 的 支 持 ， 提 供 软 件 分 发 、 补 丁 管 理 、 资 产 管 理 、 系 统 配 置 、 远 程 控 制 、 U S B   外 设 管 理 、 移 动 设 备 及 应 用 管 理 等 功 能 模 块 ， 帮 助   I T   管 理 员 集 中 远 程 管 理 大 量 的   P C   和   I O S / A n d r o i d / W i n d o w s   移 动 设 备 。 影 响 版 本 Z o h o   M a n a g e E n g i n e   D e s k t o p   C e n t r a l   <   1 0 . 0 . 4 7 4 漏 洞 分 析 本 文 使 用 1 0 . 0 . 4 6 5   x 6 4 复 现 分 析 ， 历 史 版 本 下 载 移 步 。 寻 找 反 序 列 化 点 首 先 反 序 列 化 漏 洞 ， 肯 定 需 要 先 找 到 反 序 列 化 的 点 。 在     发 现 了 名 为     的 ， 对 应 的 类 为     中 的   ， 对 应 的 u r l 为   类 继 承     是 一 个   ， 在 其     方 法 中 D e s k t o p C e n t r a l _ S e r v e r w e b a p p s D e s k t o p C e n t r a l W E B - I N F w e b . x m l C e w o l f S e r v l e t s e r v l e t D e s k t o p C e n t r a l _ S e r v e r l i b c e w o l f - 1 . 2 . 4 . j a r d e . l a u r e s . c e w o l f . C e w o l f R e n d e r e r / c e w o l f / * C e w o l f R e n d e r e r H t t p S e r v l e t s e r v l e t d o G e t
  可 控 ， 然 后 调 用     。   类 是 一 个 接 口 ， 在 这 个 j a r 包 中 ，   类 实 现 了     接 口 的     方 法 。 很 明 显 的 看 到 直 接 将 之 前 传 入 的     当 作     参 数 ， 然 后 通 过     获 取 文 件 名 然 后 进 行   的   ， 再 看   。 i m g K e y s t o r a g e . g e t C h a r t I m a g e ( i m g K e y ,   r e q u e s t ) S t o r a g e F i l e S t o r a g e S t o r a g e g e t C h a r t I m a g e i m g i m g K e y g e t F i l e N a m e ( ) O b j e c t I n p u t S t r e a m r e a d O b j e c t ( ) g e t F i l e N a m e ( )
进 行 了 一 个 简 单 的 拼 接 ， 无 伤 大 雅 。 捋 一 下 ， 通 过 i m g 传 入 参 数 触 发 读 文 件 进 而 反 序 列 化 ， 现 在 的 问 题 就 是 这 个 恶 意 的 序 列 化 文 件 我 们 怎 么 传 上 去 ， 并 且 路 径 要 有 。 寻 找 上 传 点 w e b . x m l 中 寻 找 上 传 的 s e r v l e t 跟 进 之 后 发 现 u d i d 、 f i l e n a m e 可 控 ， 并 且 u d i d 被 拼 接 到 文 件 保 存 目 录 中 。 那 么 我 们 可 以 跨 目 录 上 传 ， 在 上 文 中 我 们 传 入 文 件 名 触 发 反 序 列 化 时 会 拼 接   _ c h a r t S t r i n g   l o c a l D i r T o S t o r e   =   b a s e D i r   +   F i l e . s e p a r a t o r   +   " m d m - l o g s "   +   F i l e . s e p a r a t o r   +   t h i s . c u s t o m e r I D   +   F i l e . s e p a r a t o r   +   t h i s . d e v i c e N a m e   +   " _ "   +   u d i d ; t h i s . b a s e P a t h   +   " _ c h a r t "   +   i d
  到 路 径 中 ， 所 以 我 们 需 要 构 造 一 个     的 路 径   。 再 来 看 对 文 件 名 的 处 理 然 后 文 件 名 转 小 写 之 后 进 行     的 校 验 ， 然 后 拼 接 为 完 整 的 文 件 路 径 ， 看 下 校 验 了 什 么 。 然 后 进 行     、     、     的 校 验 。 t h i s . b a s e P a t h   +   " _ c h a r t "   +   i d _ c h a r t a a a . . . . . . w e b a p p s D e s k t o p C e n t r a l _ c h a r t F i l e U p l o a d U t i l . h a s V u l n e r a b i l i t y I n F i l e N a m e ( f i l e N a m e ,   " l o g | t x t | z i p | 7 z " ) i s C o n t a i n D i r e c t o r y T r a v e r s a l ( ) i s C o m p l e t e P a t h ( ) i s V a l i d F i l e E x t e n s i o n ( ) p r i v a t e   s t a t i c   b o o l e a n   i s C o n t a i n D i r e c t o r y T r a v e r s a l ( S t r i n g   f i l e N a m e )   {         r e t u r n   f i l e N a m e . c o n t a i n s ( " / " )   | |   f i l e N a m e . c o n t a i n s ( " " ) ; } p r i v a t e   s t a t i c   b o o l e a n   i s C o m p l e t e P a t h ( S t r i n g   f i l e N a m e )   {         S t r i n g   r e g e x F i l e E x t e n s i o n P a t t e r n   =   " ( [ a - z A - Z ] : [     /   / / ] . * ) " ;         P a t t e r n   p a t t e r n   =   P a t t e r n . c o m p i l e ( r e g e x F i l e E x t e n s i o n P a t t e r n ) ;         M a t c h e r   m a t c h e r   =   p a t t e r n . m a t c h e r ( f i l e N a m e ) ;         r e t u r n   m a t c h e r . m a t c h e s ( ) ; } p r i v a t e   s t a t i c   b o o l e a n   i s C o n t a i n E x e c u t a b l e F i l e E x t ( S t r i n g   f i l e N a m e )   {         i f   ( f i l e N a m e . i n d e x O f ( " u 0 0 0 0 " )   ! =   - 1 )   {
判 断 是 否 文 件 名 进 行 了 目 录 穿 越 、 是 否 是 合 法 后 缀 等 ， 但 是 因 为 之 前 的 目 录 是 由 u d i d 控 制 的 ， 并 不 影 响 我 们 的 文 件 上 传 。 而 在 w e b . x m l 中 引 入 了 s e c u r i t y - m d m - a g e n t . x m l 在     中 有 一 个 校 验 ， 只 允 许 文 件 名 为           i f   ( f i l e N a m e . i n d e x O f ( " u 0 0 0 0 " )   ! =   - 1 )   {                 f i l e N a m e   =   f i l e N a m e . s u b s t r i n g ( 0 ,   f i l e N a m e . i n d e x O f ( " u 0 0 0 0 " ) ) ;         }         S t r i n g   f i l e E x t e n s i o n   =   F i l e n a m e U t i l s . g e t E x t e n s i o n ( f i l e N a m e ) . t r i m ( ) ;         i f   ( ! f i l e E x t e n s i o n . t r i m ( ) . e q u a l s ( " " ) )   {                 f i l e E x t e n s i o n   =   f i l e E x t e n s i o n . t o L o w e r C a s e ( ) ;                 A r r a y L i s t   e x e c u t a b l e F i l e E x t s   =   n e w   A r r a y L i s t ( A r r a y s . a s L i s t ( " j s p " ,   " j s " ,   " h t m l " ,   " h t m " ,   " s h t m l " ,   " s h t m " ,   " h t a " ,   " a s p " ) ) ;                 i f   ( e x e c u t a b l e F i l e E x t s . c o n t a i n s ( f i l e E x t e n s i o n ) )   {                         r e t u r n   t r u e ;                 }         }         r e t u r n   f a l s e ; } s e c u r i t y - m d m - a g e n t . x m l l o g g e r . t x t | l o g g e r . z i p | m d m l o g s . z i p | m a n a g e d p r o f i l e _ m d m l o g s . z i p
所 以 构 造 如 下 请 求 ， 即 可 上 传 文 件 寻 找 g a d g e t s   中 有   、 ， 完 美 。 使 用 y s o s e r i a l 生 成 序 列 化 文 件 ， 先 上 传 然 后 触 发 反 序 列 化 就 完 事 了 。 注 意 y s o s e r i a l 的 p o m . x m l 要 和 目 标 的 j a r 版 本 一 样 。 D e s k t o p C e n t r a l _ S e r v e r l i b c o m m o n s - c o l l e c t i o n s . j a r ( 3 . 1 ) c o m m o n s - b e a n u t i l s - 1 . 8 . 0 . j a r
漏 洞 修 复 截 至 2 0 2 0 / 0 3 / 2 0   9 . 3 4 分 ， 官 网 版 本 为 1 0 . 0 . 5 1 5 ， 已 经 修 复 了 漏 洞 ， 请 更 新 。 参 考 链 接 1 .   h t t p s : / / s r c i n c i t e . i o / p o c s / s r c - 2 0 2 0 - 0 0 1 1 . p y . t x t 2 .   h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 0 4 7 4 3 .   h t t p s : / / w w w . m a n a g e e n g i n e . c o m / p r o d u c t s / d e s k t o p - c e n t r a l / r e m o t e - c o d e - e x e c u t i o n - v u l n e r a b i l i t y . h t m l 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 看 完 了 就 点 个 关 注 呗 看 完 了 就 点 个 关 注 呗
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理