搜索

[1115] 2020-09-13_看我如何再一次骇进Facebook，一个在MobileIronMDM上的远端程式码执行漏洞!

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2020-09-13_看我如何再一次骇进Facebook，一个在MobileIronMDM上的远端程式码执行漏洞! 看 我 如 何 再 一 次 骇 进 F a c e b o o k ， 一 个 在 M o b i l e I r o n   M D M   上 的 远 端 程 式 码 执 行 漏 洞 ! o r a n g e   C h a B u g   2 0 2 0 - 0 9 - 1 3 本 文 转 载 自 h t t p s : / / d e v c o . r e / b l o g / 2 0 2 0 / 0 9 / 1 2 / h o w - I - h a c k e d - F a c e b o o k - a g a i n - u n a u t h e n t i c a t e d - R C E - o n - M o b i l e I r o n - M D M / 原 文 作 者 ： o r a n g e 看 我 如 何 再 一 次 骇 进 F A C E B O O K ， 一 个 在 M O B I L E I R O N   M D M   上 的 远 端 程 式 码 执 行 漏 洞 ! 嗨 !   好 久 不 见 ， 这 是 我 在 今 年 年 初 的 研 究 ， 讲 述 如 何 寻 找 一 款 知 名 行 动 装 置 管 理 产 品 的 漏 洞 ， 并 绕 过 层 层 保 护 取 得 远 端 程 式 码 执 行 的 故 事 !   其 中 的 漏 洞 经 回 报 后 在 六 月 由 官 方 释 出 修 补 程 式 并 紧 急 通 知 他 们 的 客 户 ， 而 我 们 也 在 修 补 程 式 释 出 1 5   天 后 发 现 F a c e b o o k   并 未 及 时 更 新 ， 因 此 透 过 漏 洞 取 得 伺 服 器 权 限 并 回 报 给 F a c e b o o k ! 此 份 研 究 同 时 发 表 于 H I T C O N   2 0 2 0 ， 你 可 以 从 这 里 取 得 这 次 演 讲 的 投 影 片 ! 身 为 一 个 专 业 的 红 队 ， 我 们 一 直 在 寻 找 着 更 快 速 可 以 从 外 部 进 入 企 业 内 网 的 最 佳 途 径 ! 如 同 我 们 去 年 在 B l a c k   H a t   U S A 发 表 的 研 究 ， S S L   V P N 理 所 当 然 会 放 在 外 部 网 路 ， 成 为 保 护 着 网 路 安 全 、 使 员 工 进 入 内 部 网 路 的 基 础 设 施 ， 而 当 你 所 信 任 、 并 且 用 来 保 护 你 安 全 的 设 备 不 再 安 全 了 ， 你 该 怎 么 办 ? 什 么 是 M D M / U E M   ? M o b i l e   D e v i c e   M a n a g e m e n t ， 简 称 M D M ， 约 是 在 2 0 1 2 年 间 ， 个 人 手 机 、 平 板 装 置 开 始 兴 起 时 ， 为 了 使 企 业 更 好 的 管 理 员 工 的 B Y O D 装 置 ， 应 运 而 生 的 资 产 盘 点 系 统 ， 企 业 可 以 透 过 M D M 产 品 ， 管 理 员 工 的 行 动 装 置 ， 确 保 装 置 只 在 信 任 的 环 境 、 政 策 下 运 行 ， 也 可 以 从 中 心 的 端 点 伺 服 器 ， 针 对 所 控 制 的 手 机 ， 部 署 应 用 程 式 、 安 装 凭 证 甚 至 远 端 操 控 以 管 理 企 业 资 产 ， 更 可 以 在 装 置 遗 失 时 ， 透 过 M D M 远 端 上 锁 ， 或 是 抹 除 整 台 装 置 资 料 达 到 企 业 隐 私 不 外 漏 的 目 的 ! U E M   ( U n i f i e d   E n d p o i n t   M a n a g e m e n t )   则 为 近 几 年 来 更 新 的 一 个 术 语 ， 其 核 心 皆 为 行 动 装 置 的 管 理 ， 只 是 U E M   一 词 包 含 更 广 的 装 置 定 义 !   我 们 以 下 皆 用 M D M   一 词 来 代 指 同 类 产 品 。 我 们 的 目 标 M D M   作 为 一 个 中 心 化 的 端 点 控 制 系 统 ， 可 以 控 制 、 并 管 理 旗 下 所 有 员 工 个 人 装 置 !   对 日 益 壮 大 的 企 业 来 说 ， 绝 对 是 一 个 最 佳 的 资 产 盘 点 产 品 ， 相 对 的 ， 对 骇 客 来 说 也 是 ! 而 为 了 管 理 来 自 世 界 各 地 的 员 工 装 置 连 线 ， M D M   又 势 必 得 曝 露 在 外 网 。 一 个 可 以 「 管 理 员 工 装 置 」 又 「 放 置 在 外 网 」 的 设 备 ， 这 对 我 们 的 红 队 演 练 来 说 无 疑 是 最 棒 的 渗 透 管 道 !
另 外 ， 从 这 几 年 的 安 全 趋 势 也 不 难 发 现 M D M 逐 渐 成 为 骇 客 、 A P T 组 织 的 首 选 目 标 ! 诱 使 受 害 者 同 意 恶 意 的 M D M 成 为 你 装 置 的 C & C 伺 服 器 ， 或 是 干 脆 入 侵 企 业 放 置 在 外 网 的 M D M 设 备 ， 在 批 次 地 派 送 行 动 装 置 木 马 感 染 所 有 企 业 员 工 手 机 、 电 脑 ， 以 达 到 进 一 步 的 攻 击 ! 这 些 都 已 成 真 ， 详 细 的 报 告 可 参 阅 C i s c o   T a l o s 团 队 所 发 表 的 M a l i c i o u s   M D M :   L e t ' s   H i d e   T h i s   A p p 以 及 C h e c k P o i n t   C P R 团 队 所 发 表 的 F i r s t   s e e n   i n   t h e   w i l d   -   M a l w a r e   u s e s   C o r p o r a t e   M D M   a s   a t t a c k   v e c t o r   ! 从 前 面 的 几 个 案 例 我 们 得 知 M D M   对 于 企 业 安 全 来 说 ， 是 一 个 很 好 的 切 入 点 ， 因 此 我 们 开 始 研 究 相 关 的 攻 击 面 !   而 市 面 上 M D M   厂 商 有 非 常 多 ， 各 个 大 厂 如 M i c r o s o f t 、 I B M   甚 至 A p p l e   都 有 推 出 自 己 的 M D M   产 品 ， 我 们 要 挑 选 哪 个 开 始 成 为 我 们 的 研 究 对 象 呢 ? 因 此 我 们 透 过 公 开 情 报 列 举 了 市 面 上 常 见 的 M D M 产 品 ， 并 配 合 各 家 特 征 对 全 世 界 进 行 了 一 次 扫 描 ， 发 现 最 多 企 业 使 用 的 M D M 为 V M w a r e   A i r W a t c h 与 M o b i l e I r o n 这 两 套 产 品 ! 至 于 要 挑 哪 一 家 研 究 呢 ? 我 们 选 择 了 后 者 ， 除 了 考 量 到 大 部 分 的 客 户 都 是 使 用 M o b i l e I r o n 外 ， 另 外 一 个 吸 引 我 的 点 则 是 F a c e b o o k 也 是 他 们 的 客 户 ! 从 我 们 在 2 0 1 6 年 发 表 的 H o w   I   H a c k e d   F a c e b o o k ,   a n d   F o u n d   S o m e o n e ' s   B a c k d o o r   S c r i p t 研 究 中 ， 就 已 发 现 F a c e b o o k 使 用 M o b i l e I r o n 作 为 他 们 的 M D M 解 决 方 案 ! 根 据 M o b i l e I r o n 官 方 网 站 描 述 ， 至 少 有 2 0 0 0 0 + 的 企 业 使 用 M o b i l e I r o n 当 成 他 们 的 M D M 解 决 方 案 ， 而 根 据 我 们 实 际 对 全 世 界 的 扫 描 ， 也 至 少 有 1 5 % 以 上 的 财 富 世 界 5 0 0 大 企 业 使 用 M o b i l e I r o n 且 曝 露 在 外 网 曝 露 在 外 网   ( 实 际 上 一 定 更 多 ) ， 因 此 ， 寻 找 M o b i l e I r o n 的 漏 洞 也 就 变 成 我 们 的 首 要 目 标 ! 如 何 开 始 研 究 从 过 往 出 现 过 的 漏 洞 可 以 得 知 M o b i l e I r o n 并 没 有 受 到 太 多 安 全 人 员 研 究 ， 其 中 原 因 除 了 M D M 这 个 攻 击 向 量 尚 未 广 为 人 知 外 ， 另 一 个 可 能 是 因 为 关 于 M o b i l e I r o n 的 相 关 韧 体 太 难 取 得 ， 研 究 一 款 设 备 最 大 的 问 题 是 如 何 从 纯 粹 的 黑 箱 ， 到 可 以 分 析 的 灰 箱 、 甚 至 白 箱 ! 由 于 无 法 从 官 网 下 载 韧 体 ， 我 们 花 费 了 好 几 天 尝 试 着 各 种 关 键 字 在 网 路 上 寻 找 可 利 用 的 公 开 资 讯 ， 最 后 才 在 G o o l g e   S e a r c h 索 引 到 的 其 中 一 个 公 开 网 站 根 目 录 上 发 现 疑 似 是 开 发 商 测 试 用 的 R P M 包 。 下 载 回 的 为 2 0 1 8   年 初 的 版 本 ， 离 现 在 也 有 很 长 一 段 时 间 ， 也 许 核 心 程 式 码 也 大 改 过 ， 不 过 总 比 什 么 都 没 有 好 ， 因 此 我 们 就 从 这 份 档 案 开 始 研 究 起 。
备 注 :   经 通 知 M o b i l e I r o n   官 方 后 ， 此 开 发 商 网 站 已 关 闭 。 如 何 寻 找 漏 洞 整 个 M o b i l e I r o n   使 用 J a v a   作 为 主 要 开 发 语 言 ， 对 外 开 放 的 连 接 埠 为 4 4 3 ,   8 4 4 3 ,   9 9 9 7 ， 各 个 连 接 埠 对 应 功 能 如 下 : 4 4 3   为 使 用 者 装 置 注 册 介 面 8 4 4 3   为 设 备 管 理 介 面 9 9 9 7   为 一 个 M o b i l e I r o n   私 有 的 装 置 同 步 协 定 ( M I   P r o t o c o l ) 三 个 连 接 埠 皆 透 过 T L S   保 护 连 线 的 安 全 性 及 完 整 性 ， 网 页 部 分 则 是 透 过 A p a c h e   的 R e v e r s e   P r o x y   架 构 将 连 线 导 至 后 方 ， 由 T o m c a t   部 署 的 网 页 应 用 处 理 ， 网 页 应 用 则 由 S p r i n g   M V C   开 发 。 由 于 使 用 的 技 术 架 构 相 对 新 ， 传 统 类 型 的 漏 洞 如 S Q L   I n j e c t i o n   也 较 难 从 单 一 的 点 来 发 现 ， 因 此 理 解 程 式 逻 辑 并 配 合 架 构 层 面 的 攻 击 就 变 成 我 们 这 次 寻 找 漏 洞 的 主 要 目 标 ! 这 次 的 漏 洞 也 很 简 单 ， 主 要 是 W e b   S e r v i c e   使 用 了 H e s s i a n   格 式 处 理 资 料 进 而 产 生 了 反 序 列 化 的 弱 点 !   虽 然 漏 洞 一 句 话 就 可 以 解 释 完 了 ， 但 懂 的 人 才 知 道 反 序 列 化 并 不 代 表 你 可 以 做 任 何 事 ， 接 下 来 的 利 用 才 是 精 彩 的 地 方 ! 现 在 已 知 M o b i l e I r o n   在 处 理 W e b   S e r v i c e   的 地 方 存 在 H e s s i a n   反 序 列 化 漏 洞 !   但 漏 洞 存 在 ， 并 不 代 表 我 们 碰 得 到 漏 洞 ， 可 以 触 发 H e s s i a n   反 序 列 化 的 路 径 分 别 在 : 一 般 使 用 者 介 面   -   管 理 介 面   -   管 理 介 面 基 本 上 没 有 任 何 阻 挡 ， 可 以 轻 松 的 碰 到 W e b   S e r v i c e ， 而 一 般 使 用 者 介 面 的 W e b   S e r v i c e   则 无 法 存 取 ， 这 对 我 们 来 说 是 一 个 致 命 性 的 打 击 ， 由 于 大 部 分 企 业 的 网 路 架 构 并 不 会 将 管 理 介 面 的 连 接 埠 开 放 在 外 部 网 路 ， 因 此 只 能 攻 击 管 理 介 面 对 h t t p s : / / m o b i l e i r o n / m i f s / s e r v i c e s / h t t p s : / / m o b i l e i r o n : 8 4 4 3 / m i f s / s e r v i c e s /
于 的 利 用 程 度 并 不 大 ， 因 此 我 们 必 须 寻 找 其 他 的 方 式 去 触 发 这 个 漏 洞 ! 仔 细 观 察 M o b i l e I r o n   的 阻 挡 方 式 ， 发 现 它 是 透 过 在 A p a c h e   上 使 用 R e w r i t e   R u l e s   去 阻 挡 对 一 般 使 用 者 介 面 W e b   S e r v i c e   的 存 取 : R e w r i t e R u l e   ^ / m i f s / s e r v i c e s / ( . * ) $   h t t p s : / / % { S E R V E R _ N A M E } : 8 4 4 3 / m i f s / s e r v i c e s / $ 1   [ R = 3 0 7 , L ] R e w r i t e R u l e   ^ / m i f s / s e r v i c e s   [ F ] 嗯 ， 很 棒 !   使 用 R e v e r s e   P r o x y   架 构 而 且 是 在 前 面 那 层 做 阻 挡 ， 你 是 否 想 到 什 么 呢 ? 没 错 ! 就 是 我 们 在 2 0 1 5 年 发 现 ， 并 且 在 B l a c k   H a t   U S A   2 0 1 8 上 所 发 表 的 针 对 R e v e r s e   P r o x y 架 构 的 新 攻 击 面 B r e a k i n g   P a r s e r   L o g i c   ! 这 个 优 秀 的 技 巧 最 近 也 被 很 好 的 利 用 在 C V E - 2 0 2 0 - 5 9 0 2 ， F 5   B I G - I P   T M U I 的 远 端 程 式 码 执 行 上 ! h t t p s : / / m o b i l e i r o n / m i f s / . ; / s e r v i c e s / s o m e S e r v i c e 如 何 利 用 漏 洞 现 在 让 我 们 回 到 H e s s i a n 反 序 列 化 的 利 用 上 ! 针 对 H e s s i a n 反 序 列 化 ， M o r i t z   B e c h l e r 已 经 在 他 的 J a v a   U n m a r s h a l l e r   S e c u r i t y 中 做 了 一 个 很 详 细 的 研 究 报 告 ! 从 他 所 开 源 的 m a r s h a l s e c 原 始 码 中 ， 我 们 也 学 习 到 H e s s i a n 在 反 序 列 化 过 程 中 除 了 透 过 H a s h M a p 触 发 以 及 等 触 发 点 外 ， 也 可 透 过 串 出 ， 而 目 前 关 于 H e s s i a n 反 序 列 化 已 存 在 的 利 用 链 有 四 条 : A p a c h e   X B e a n C a u c h o   R e s i n S p r i n g   A O P R O M E   E q u a l s B e a n / T o S t r i n g B e a n 而 根 据 我 们 的 目 标 环 境 ， 可 以 触 发 的 只 有 S p r i n g   A O P   这 条 利 用 链 ! 无 论 如 何 ， 我 们 现 在 有 了 J N D I 注 入 后 ， 接 下 来 只 要 透 过 A l v a r o   M u ñ o z 与 O l e k s a n d r   M i r o s h 在 B l a c k   H a t   U S A   2 0 1 6 上 所 发 表 的 A   J o u r n e y   F r o m   J N D I / L D A P   t o   R e m o t e   C o d e   E x e c u t i o n   D r e a m   L a n d 就 可 以 取 得 远 端 程 式 码 执 行 了 … 甘 安 内 ? e q u a l s ( ) h a s h c o d e ( ) X S t r i n g t o S t r i n g ( )
自 从 A l v a r o   M u ñ o z 与 O l e k s a n d r   M i r o s h 在 B l a c k   H a t 发 表 了 这 个 新 的 攻 击 向 量 后 ， 不 知 道 帮 助 了 多 少 大 大 小 小 的 骇 客 ， 甚 至 会 有 人 认 为 「 遇 到 反 序 列 化 就 用 J N D I 送 就 对 了 ! 」 ， 但 自 从 2 0 1 8 年 十 月 ， J a v a 终 于 把 关 于 J N D I 注 入 的 最 后 一 块 拼 图 给 修 复 ， 这 个 修 复 被 记 载 在 C V E - 2 0 1 8 - 3 1 4 9 中 ， 自 此 之 后 ， 所 有 J a v a 高 于 8 u 1 8 1 ,   7 u 1 9 1 ,   6 u 2 0 1 的 版 本 皆 无 法 透 过 J N D I / L D A P 的 方 式 执 行 程 式 码 ， 因 此 若 要 在 最 新 版 本 的 M o b i l e I r o n 上 实 现 攻 击 ， 我 们 势 必 得 面 对 这 个 问 题 ! 关 于 C V E - 2 0 1 8 - 3 1 4 9 ， 是 透 过 将 的 预 设 值 改 为 的 方 式 以 达 到 禁 止 攻 击 者 下 载 远 端 B y t e c o d e 取 得 执 行 程 式 码 。 但 幸 运 的 是 ， 我 们 依 然 可 以 透 过 J N D I 的 N a m i n g   R e f e r e n c e 到 本 机 既 有 的 C l a s s   F a c t o r y 上 ! 透 过 类 似 R e t u r n - O r i e n t e d   P r o g r a m m i n g 的 概 念 ， 寻 找 本 机 C l a s s P a t h 中 可 利 用 的 类 别 去 做 更 进 一 步 的 利 用 ， 详 细 的 手 法 可 参 考 由 M i c h a e l   S t e p a n k i n 在 2 0 1 9 年 年 初 所 发 表 的 E x p l o i t i n g   J N D I   I n j e c t i o n s   i n   J a v a ， 里 面 详 细 叙 述 了 如 何 透 过 T o m c a t 的 去 载 入 达 成 任 意 程 式 码 执 行 ! 这 条 路 看 似 通 畅 ， 但 实 际 上 却 差 那 么 一 点 ， 由 于 在 T o m c a t   8 后 才 被 引 入 ， 因 此 上 面 的 绕 过 方 式 只 能 在 T o m c a t 版 本 大 于 8 后 的 某 个 版 本 才 能 成 功 ， 而 我 们 的 目 标 则 是 T o m c a t   7 . x ， 因 此 得 为 寻 找 一 个 新 的 利 用 链 ! 而 经 过 搜 寻 ， 发 现 在 W e l k i n 的 文 章 中 所 提 到 : 除 了 j a v a x . e l . E L P r o c e s s o r ， 当 然 也 还 有 很 多 其 他 的 类 符 合 条 件 可 以 作 为 b e a n C l a s s 注 入 到 B e a n F a c t o r y 中 实 现 利 用 。 举 个 例 子 ， 如 果 目 标 机 器 c l a s s p a t h 中 有 g r o o v y 的 库 ， 则 可 以 结 合 之 前 O r a n g e 师 傅 发 过 的 J e n k i n s 的 漏 洞 实 现 利 用 目 标 的 C l a s s P a t h   上 刚 好 有 G r o o v y   存 在 !   于 是 我 们 又 让 M e t a   P r o g r a m m i n g   伟 大 了 一 次 : D c o m . s u n . j n d i . l d a p . o b j e c t . t r u s t U R L C o d e b a s e F a l s e B e a n F a c t o r y E L P r o c e s s o r E L P r o c e s s o r B e a n F a c t o r y
然 而 事 实 上 ， 目 标 伺 服 器 上 G r o o v y 版 本 为 1 . 5 . 6 ， 是 一 个 距 今 十 年 前 老 旧 到 不 支 援 M e t a   P r o g r a m m i n g 的 版 本 ， 所 以 我 们 最 后 还 是 基 于 G r o o v y 的 程 式 码 ， 重 新 寻 找 了 一 个 在 上 的 利 用 链 ! 详 细 的 利 用 链 可 参 考 我 送 给 J N D I - I n j e c t i o n - B y p a s s 的 这 个 P u l l   R e q u e s t   ! 攻 击 F A C E B O O K 现 在 我 们 已 经 有 了 一 个 基 于 +   +   的 完 美 远 端 程 式 码 执 行 漏 洞 ， 接 下 来 就 开 始 攻 击 F a c e b o o k 吧 ! 从 前 文 提 到 ， 我 们 在 2 0 1 6 年 时 就 已 知 F a c e b o o k 使 用 M o b i l e I r o n 当 作 他 们 的 M D M 解 决 方 案 ， 虽 然 现 在 再 检 查 一 次 发 现 首 页 直 接 变 成 4 0 3   F o r b i d d e n 了 ， 不 过 幸 运 的 是 W e b   S e r v i c e 层 并 无 阻 挡 ! 万 事 俱 备 ， 只 欠 东 风 ! 正 当 要 攻 击 F a c e b o o k 的 前 几 天 ， 我 们 突 然 想 到 ， 从 上 次 进 入 F a c e b o o k 伺 服 器 的 经 验 ， 由 于 安 全 上 的 考 量 ， F a c e b o o k 似 乎 会 禁 止 所 有 对 外 部 非 法 的 连 线 ， 这 点 对 我 们 J N D I 注 入 攻 击 有 着 至 关 重 要 的 影 响 ! 首 先 ， J N D I 注 入 的 核 心 就 是 透 过 受 害 者 连 线 至 攻 击 者 控 制 的 恶 意 伺 服 器 ， 并 接 收 回 传 的 恶 意 N a m i n g   R e f e r e n c e 后 所 导 致 的 一 系 列 利 用 ， 但 现 在 连 最 开 始 的 连 线 到 攻 击 者 的 恶 意 伺 服 器 都 无 法 ， 更 别 谈 后 续 的 利 用 。 G r o o v y S h e l l J N D I B e a n F a c t o r y G r o o v y S h e l l
自 此 ， 我 们 关 于 J N D I   注 入 的 路 已 全 被 封 杀 ， 只 能 回 到 H e s s i a n   反 序 列 化 重 新 思 考 !   而 现 有 的 利 用 链 皆 无 法 达 到 远 端 程 式 码 执 行 ， 所 以 我 们 势 必 得 抛 弃 J N D I   注 入 ， 寻 找 一 个 新 的 利 用 链 ! 为 了 寻 找 新 的 利 用 链 ， 必 须 先 深 入 理 解 已 存 在 利 用 链 的 原 理 及 成 因 ， 在 重 读 J a v a   U n m a r s h a l l e r   S e c u r i t y 的 论 文 后 ， 我 对 其 中 一 句 话 感 到 了 好 奇 : C a n n o t   r e s t o r e   G r o o v y ' s   M e t h o d C l o s u r e   a s   r e a d R e s o l v e ( )   i s   c a l l e d   w h i c h   t h r o w s   a n   e x c e p t i o n . 哦 ， 为 什 么 作 者 要 特 地 补 上 这 句 话 呢 ?   我 开 始 有 个 猜 想 :
作 者 评 估 过 把 G r o o v y   当 成 利 用 链 的 可 行 性 ， 虽 然 被 限 制 住 了 ， 但 一 定 觉 得 有 机 会 才 会 写 进 论 文 中 ! 从 这 个 猜 想 出 发 ， 虽 然 G r o o v y 的 利 用 链 被 限 制 住 了 ， 但 刚 好 我 们 目 标 版 本 的 G r o o v y 很 旧 ， 说 不 定 尚 未 把 这 个 限 制 加 入 程 式 库 ! 我 们 比 较 了 一 下 G r o o v y - 1 . 5 . 6 与 最 新 版 本 位 于 中 的 实 现 : $   d i f f   1 _ 5 _ 6 / M e t h o d C l o s u r e . j a v a   3 _ 0 _ 4 / M e t h o d C l o s u r e . j a v a >           p r i v a t e   O b j e c t   r e a d R e s o l v e ( )   { >                   i f   ( A L L O W _ R E S O L V E )   { >                           r e t u r n   t h i s ; >                   } >                   t h r o w   n e w   U n s u p p o r t e d O p e r a t i o n E x c e p t i o n ( ) ; >           } 可 以 看 到 的 确 在 旧 版 是 没 有 限 制 的 ， 而 后 来 经 过 考 古 后 也 发 现 ， 这 个 限 制 其 实 G r o o v y 自 己 为 了 因 应 2 0 1 5 年 所 出 现 J a v a 反 序 列 化 漏 洞 的 减 缓 措 施 ， 因 此 也 被 分 配 了 C V E - 2 0 1 5 - 3 2 5 3 这 个 漏 洞 编 号 ! 由 于 G r o o v y 只 是 一 个 只 在 内 部 使 用 、 不 会 对 外 的 小 配 角 ， 因 此 在 没 有 特 别 需 求 下 开 发 者 也 不 会 特 地 去 更 新 它 ， 因 此 成 为 了 我 们 攻 击 链 的 一 环 ! 这 也 再 一 次 验 证 了 「 任 何 看 似 举 无 轻 重 的 小 元 件 ， 都 有 可 能 成 为 你 被 攻 击 的 主 因 」 ! 最 后 ， 当 然 !   我 们 成 功 的 取 得 在 F a c e b o o k   伺 服 器 上 的 S h e l l ， 以 下 是 影 片 : r e a d R e s o l v e ( ) g r o o v y / r u n t i m e / M e t h o d C l o s u r e . j a v a r e a d S o l v e ( ) A L L O W _ R E S O L V E
漏 洞 通 报 与 修 复 我 们 约 在 三 月 时 完 成 整 个 漏 洞 研 究 ， 并 在 4 / 3 日 将 研 究 成 果 写 成 报 告 ， 透 过 回 报 给 M o b i l e I r o n ! 官 方 收 到 后 着 手 开 始 修 复 ， 在 6 / 1 5 释 出 修 补 程 式 并 记 录 了 三 个 C V E 编 号 ， 详 细 的 修 复 方 式 请 参 阅 M o b i l e I r o n 官 方 网 站   ! C V E - 2 0 2 0 - 1 5 5 0 5   -   R e m o t e   C o d e   E x e c u t i o n C V E - 2 0 2 0 - 1 5 5 0 6   -   A u t h e n t i c a t i o n   B y p a s s C V E - 2 0 2 0 - 1 5 5 0 7   -   A r b i t r a r y   F i l e   R e a d i n g 当 官 方 释 出 修 补 程 式 后 ， 我 们 也 开 始 监 控 世 界 上 所 有 有 使 用 M o b i l e I r o n 企 业 的 修 复 状 况 ， 这 里 只 单 纯 检 查 静 态 档 案 的 H e a d e r ， 结 果 仅 供 参 考 不 完 全 代 表 实 际 情 况 ( U n k n o w n 代 表 未 开 4 4 3 / 8 4 4 3 无 法 利 用 ) : 与 此 同 时 ， 我 们 也 持 续 监 控 着 F a c e b o o k ， 并 在 1 5   天 确 认 都 未 修 补 后 于 7 / 2   日 成 功 进 入 F a c e b o o k   伺 服 器 后 回 报 F a c e b o o k   B u g   B o u n t y   P r o g r a m ! 结 语 到 此 ， 我 们 已 经 成 功 示 范 了 如 何 寻 找 一 个 M D M   伺 服 器 的 漏 洞 !   从 绕 过 J a v a   语 言 层 级 的 保 护 、 网 路 限 制 ， 到 写 出 攻 击 程 式 并 成 功 的 利 用 在 B u g   B o u n t y   P r o g r a m   上 !   因 为 文 长 ， 还 有 许 多 来 不 及 分 享 的 故 事 ， 这 里 仅 条 列 一 下 供 有 兴 趣 继 续 研 究 的 人 参 考 ! 如 何 从 M D M   伺 服 器 ， 控 制 回 员 工 的 手 机 装 置 如 何 分 析 M o b i l e I r o n   的 私 有 M I   P r o t o c o l C V E - 2 0 2 0 - 1 5 5 0 6   本 质 上 其 实 是 一 个 很 有 趣 的 认 证 绕 过 漏 洞 s e c u r i t y @ m o b i l e i r o n . c o m L a s t - M o d i f i e d
希 望 这 篇 文 章 能 够 唤 起 大 众 对 于 M D M   攻 击 面 的 注 意 ， 以 及 企 业 安 全 的 重 要 性 !   感 谢 收 看 : D I   a m   O r a n g e   :   ) 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理