搜索

[11120] 2017-03-12_如何用0day漏洞黑掉西部数据NAS存储设备

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2017-03-12_如何用0day漏洞黑掉西部数据NAS存储设备 如 何 用 0 d a y 漏 洞 黑 掉 西 部 数 据 N A S 存 储 设 备 c l o u d s   F r e e B u f   2 0 1 7 - 0 3 - 1 2 我 们 以 入 侵 和 破 解 设 备 为 乐 ， 今 天 ， 要 向 大 家 展 示 的 是 近 期 我 们 对 西 部 数 据 （ 我 们 以 入 侵 和 破 解 设 备 为 乐 ， 今 天 ， 要 向 大 家 展 示 的 是 近 期 我 们 对 西 部 数 据 （ W e s t e r n   D i g i t a l   ） 网 络 存 储 设 备 （ ） 网 络 存 储 设 备 （ N A S ） 的 ） 的 漏 洞 发 现 和 入 侵 利 用 过 程 。 点 击 阅 读 原 文 观 看 入 侵 视 频 。 漏 洞 发 现 和 入 侵 利 用 过 程 。 点 击 阅 读 原 文 观 看 入 侵 视 频 。 漏 洞 发 现 漏 洞 发 现 漏 洞 发 现 漏 洞 发 现 去 年 年 中 ， 我 打 算 入 手 一 台 支 持 硬 件 解 码 的 N A S 存 储 来 搭 建 P l e x 流 媒 体 服 务 平 台 ， 经 过 一 番 比 较 ， 在 一 位 朋 友 的 推 荐 下 ， 我 选 择 了 西 部 数 据 （ W e s t e r n   D i g i t a l   ） 的 M y C l o u d   P R 4 1 0 0 ， 该 存 储 设 备 完 全 满 足 我 所 有 的 功 能 需 求 。 把 该 设 备 添 加 进 网 络 之 后 ， 可 以 通 过 一 个 W e b 界 面 访 问 登 录 ， 由 于 我 对 使 用 设 备 有 安 全 洁 癖 ， 所 以 在 登 录 开 启 S S H 连 接 之 后 ， 我 开 始 对 其 网 页 服 务 功 能 进 行 了 安 全 审 计 ， 并 发 现 了 以 下 存 在 漏 洞 ： 登 录 验 证 绕 过 漏 洞 登 录 验 证 绕 过 漏 洞 很 惊 讶 ， 我 很 快 发 现 了 一 个 用 c o o k i e 和 P H P   s e s s i o n 进 行 登 录 检 查 的 b u g 。 虽 然 使 用 c o o k i e 认 证 并 不 都 是 坏 事 ， 但 该 设 备 的 使 用 方 式 存 在 问 题 ， 请 看 以 下 脚 本 ： / l i b / l o g i n _ c h e c k e r . p h p f u n c t i o n   l o g i n _ c h e c k ( )
{               $ r e t   =   0 ;               i f   ( i s s e t ( $ _ S E S S I O N [ ' u s e r n a m e ' ] ) )               {                                 i f ( i s s e t ( $ _ S E S S I O N [ ' u s e r n a m e ' ] )   & &   $ _ S E S S I O N [ ' u s e r n a m e ' ]   ! =   " " )                                 $ r e t   =   2 ;   / / l o g i n ,   n o r m a l   u s e r                                 i f   ( $ _ S E S S I O N [ ' i s A d m i n ' ]   = =   1 )                                                 $ r e t   =   1 ;   / / l o g i n , a d m i n               }   e l s e   i f   ( i s s e t ( $ _ C O O K I E [ ' u s e r n a m e ' ] ) )               {                                 i f   ( i s s e t ( $ _ C O O K I E [ ' u s e r n a m e ' ] ) & &   $ _ C O O K I E [ ' u s e r n a m e ' ]   ! =   " " )                               $ r e t   =   2 ;   / / l o g i n ,   n o r m a l u s e r                                 i f   ( $ _ C O O K I E [ ' i s A d m i n ' ]   = =   1 )                                                 $ r e t   =   1 ;   / / l o g i n , a d m i n               }               r e t u r n   $ r e t ; } 代 码 包 含 一 个 名 为   “ l o g i n _ c h e c k ” 的 函 数 ， 后 台 P H P 脚 本 通 过 调 用 该 函 数 对 预 登 录 用 户 进 行 认 证 校 验 。 函 数 代 码 显 示 ， 可 以 通 过 两 种 方 式 进 行 认 证 ， 一 种 是 s e s s i o n 方 式 的 “ u s e r n a m e ” 和 “ i s A d m i n ” 判 断 ， 另 一 种 是 c o o k i e 方 式 的 判 断 。 由 于 c o o k i e 由 用 户 执 行 产 生 ， 所 以 攻 击 者 同 样 可 以 构 造 满 足 脚 本 调 用 的 恶 意 请 求 。 上 述 代 码 认 证 方 式 可 以 归 纳 为 以 下 方 式 ： 当 存 在 “ u s e r n a m e ”   变 量 且 不 为 空 时 ， 用 户 作 为 正 常 权 限 用 户 登 录 ； 当 存 在 “ i s A d m i n ” 变 量 且 不 为 空 时 ， 用 户 作 为 管 理 员 登 录 ； 这 意 味 着 ， 只 要 使 用 p h p 脚 本 进 行 登 录 验 证 时 ， 攻 击 者 就 可 以 构 造 特 殊 c o o k i e 变 量 绕 过 验 证 。 补 丁 更 新 导 致 新 的 漏 洞 补 丁 更 新 导 致 新 的 漏 洞 然 而 ， 就 在 我 的 研 究 过 程 中 ， 该 存 储 设 备 的 一 个 固 件 更 新 释 出 对 上 述 b u g 的 修 复 补 丁 。 但 更 不 可 思 议 的 是 ， 该 补 丁 却 导 致 了 另 外 一 种 方 式 的 验 证 绕 过 漏 洞 。 以 下 是 更 新 后 的 登 录 验 证 脚 本 ： / v a r / w w w / w e b / l i b / l o g i n _ c h e c k e r . p h p   f u n c t i o n   l o g i n _ c h e c k ( ) {               $ r e t   =   0 ;                 i f   ( i s s e t ( $ _ S E S S I O N [ ' u s e r n a m e ' ] ) )
                {                                   i f ( i s s e t ( $ _ S E S S I O N [ ' u s e r n a m e ' ] )   & &   $ _ S E S S I O N [ ' u s e r n a m e ' ]   ! =   " " )                                   $ r e t   =   2 ;   / / l o g i n ,   n o r m a l   u s e r                                   i f   ( $ _ S E S S I O N [ ' i s A d m i n ' ]   = =   1 )                                                   $ r e t   =   1 ;   / / l o g i n , a d m i n                 }                 e l s e   i f   ( i s s e t ( $ _ C O O K I E [ ' u s e r n a m e ' ] ) )                 {                                   i f ( i s s e t ( $ _ C O O K I E [ ' u s e r n a m e ' ] )   & &   $ _ C O O K I E [ ' u s e r n a m e ' ]   ! =   " " )                                   $ r e t   =   2 ;   / / l o g i n ,   n o r m a l   u s e r                                   i f   ( $ _ C O O K I E [ ' i s A d m i n ' ]   = =   1 )                                                   $ r e t   =   1 ;   / / l o g i n ,   a d m i n                                   i f ( w t o _ c h e c k ( $ _ C O O K I E [ ' u s e r n a m e ' ] )   = = =   0 )   / / w t o   c h e c k   f a i l                                                   $ r e t   =   0 ;                 }                   r e t u r n   $ r e t ; } ? > 更 新 后 的 代 码 第 4 0 行 ， 增 加 了 对 用 户 验 证 的   “ w t o _ c h e c k ( ) ” 方 法 ， 用 户 名 和 I P 地 址 都 是 该 方 法 的 参 数 。 当 前 登 入 用 户 保 持 操 作 状 态 ， 则 返 回 1 ， 超 时 则 返 回 0 。 “ w t o _ c h e c k ( ) ” 实 现 代 码 如 下 ：   / v a r / w w w / w e b / l i b / l o g i n _ c h e c k e r . p h p   / *     r e t u r n   v a l u e :   1 :   L o g i n ,   0 :   N o   l o g i n * /   f u n c t i o n   w t o _ c h e c k ( $ u s e r n a m e )   {                 i f   ( e m p t y ( $ u s e r n a m e ) )                                   r e t u r n   0 ;                 e x e c ( s p r i n t f ( " w t o   - n   " % s "   - i   ' % s '   - c " , e s c a p e s h e l l c m d ( $ u s e r n a m e ) ,   $ _ S E R V E R [ " R E M O T E _ A D D R " ] ) ,   $ l o g i n _ s t a t u s ) ;                 i f   ( $ l o g i n _ s t a t u s [ 0 ]   = = =   " W T O   C H E C K   O K " )                                   r e t u r n   1 ;                 e l s e                                   r e t u r n   0 ;   }   / * r e t :   0 :   n o   l o g i n ,   1 :   l o g i n ,   a d m i n ,   2 :   l o g i n ,   n o r m a l   u s e r   * /
上 述 代 码 第 1 1 行 中 ， 用 户 名 和 I P 地 址 被 初 始 化 为 w t o 变 量 参 数 ， 而 问 题 就 出 在 用 来 处 理 整 个 命 令 字 符 串 的 方 法 “ e s c a p e s h e l l c m d ( ) ” ， 该 方 法 不 会 对 - n 参 数 中 配 对 的 引 号 进 行 转 义 ， 这 就 给 了 攻 击 者 重 新 构 造 或 绕 过 验 证 的 可 能 ， 因 此 ， 我 们 可 以 添 加 新 的 参 数 绕 过 验 证 并 执 行 任 意 用 户 登 录 。   F r e e b u f 百 科 ： e s c a p e s h e l l c m d ( ) 对 字 符 串 中 可 能 会 欺 骗 s h e l l 命 令 执 行 任 意 命 令 的 字 符 进 行 转 义 。   此 函 数 保 证 用 户 输 入 的 数 据 在 传 送 到   e x e c ( ) 或   s y s t e m ( ) 函 数 ， 或 者 执 行 操 作 符 之 前 进 行 转 义 。 反 斜 线 （ ） 会 在 以 下 字 符 之 前 插 入 ：   # & ; ` | * ? ~ < > ^ ( ) [ ] { } $ ,   x 0 A 和   x F F 。   而 '   和   "   仅 在 不 配 对 的 时 候 被 转 义 ， 在   W i n d o w s   平 台 上 ， 所 有 这 些 字 符 以 及   %   都 会 被 前 缀   ^   来 转 义 。 （ 详 细 请 参 考   p h p . n e t 相 关 说 明 ） 这 里 ， 最 好 使 用 E s c a p e s h e l l a r g 方 法 函 数 ， E s c a p e s h e l l a r g ( ) 会 将 任 何 引 起 参 数 或 命 令 结 束 的 字 符 进 行 转 义 ， 如 单 引 号 “ ’ ” 会 被 转 义 为 “ ’ ” ， 双 引 号 “ ” ” 会 被 转 义 为 “ ” ” ， 分 号 “ ; ” 会 被 转 义 为 “ ; ” ， 这 样 e s c a p e s h e l l a r g 会 将 参 数 内 容 限 制 在 一 对 单 引 号 或 双 引 号 里 面 ， 转 义 参 数 中 所 包 含 的 单 引 号 或 双 引 号 ， 使 其 无 法 对 当 前 执 行 进 行 截 断 ， 实 现 防 范 命 令 绕 过 或 注 入 攻 击 的 目 的 。 命 令 注 入 漏 洞 命 令 注 入 漏 洞 大 多 数 的 西 部 数 据 M y C l o u d 设 备 W e b 界 面 ， 实 际 上 是 由 C G I 脚 本 来 实 现 的 ， 这 些 脚 本 中 大 部 分 二 进 制 文 件 都 存 在 着 相 同 的 功 能 模 式 ， 如 从 请 求 包 中 获 取 p o s t / g e t / c o o k i e 值 ， 然 后 应 用 这 些 值 执 行 相 关 命 令 。 然 而 ， 大 多 数 情 况 下 ， 这 些 命 令 会 使 用 到 用 户 提 交 的 一 些 未 经 安 全 处 理 的 恶 意 数 据 。 例 如 ， 以 下 设 备 中 存 在 的 代 码 ： p h p / u s e r s . p h p 1 5   $ u s e r n a m e   =   $ _ C O O K I E [ ' u s e r n a m e ' ] ; 1 6   e x e c ( " w t o   - n " $ u s e r n a m e "   - g " ,   $ r e t ) ; 代 码 把 包 含 c o o k i e 值 的 全 局 变 量 数 组 $ _ C O O K I E 命 名 为 ” $ u s e r n a m e ” ， 之 后 ， 该 ” $ u s e r n a m e ” 作 为 后 续 “ e x e c ( ) ” 命 令 执 行 的 调 用 参 数 。 因 为 没 有 任 何 过 滤 措 施 ， 可 以 这 样 更 改 一 下 ， 把 u s e r n a m e 值 设 为 ： u s e r n a m e = $ ( t o u c h   / t m p / 1 ) 那 么 执 行 命 令 将 会 变 为 ：   w t o   - n   " $ ( t o u c h   / t m p / 1 ) "   - g 很 容 易 就 执 行 了 用 户 的 自 定 义 命 令 。 由 于 命 令 行 参 数 被 双 引 号 封 装 ， 在 执 行 “ $ ( C O M M A N D H E R E ) ” 语 法 时 ， 命 令 “ t o u c h   / t m p / 1 ” 先 于 w t o 前 就 已 经 执 行 ， 并 把 返 回 结 果 作 为 - n 参 数 。 这 种 w e b 接 口 对 内 置 脚 本 的 交 互 调 用 模 式 ， 明 显 会 导 致 命 令 注 入 漏 洞 。 而 且 ， 使 得 注 意 的 是 ， 所 有 通 过 w e b 端 构 造 的 命 令 都 会 被 以 r o o t 权 限 执 行 。   其 它 其 它 B u g 除 了 以 上 两 个 高 危 漏 洞 之 外 ， 该 设 备 在 w e b 服 务 方 面 还 存 在 其 它 一 些 严 重 B u g s ， 比 如 以 下 文 件 中 正 常 登 录 验 证 行 为 被 错 误 地 注 释 掉 ：
6   / / i n c l u d e ( " . . / l i b / l o g i n _ c h e c k e r . p h p " ) ;       7 / /       8 / / / *   l o g i n _ c h e c k ( )   r e t u r n   0 :   n o   l o g i n ,   1 :   l o g i n ,   a d m i n ,   2 :   l o g i n ,   n o r m a l   u s e r * /       9 / / i f   ( l o g i n _ c h e c k ( )   = =   0 )     1 0 / / {     1 1 / /             e c h o   j s o n _ e n c o d e ( $ r ) ;     1 2 / /             e x i t ;     1 3 / / } 而 以 下 上 传 功 能 文 件 可 以 针 对 设 备 系 统 ， 执 行 无 需 用 户 验 证 的 ， 任 意 目 录 位 置 的 任 意 文 件 上 传 ： a d d o n s / u p l o a d . p h p   2   / / i f ( ! i s s e t ( $ _ R E Q U E S T [ ' n a m e ' ] ) )   t h r o w   n e w E x c e p t i o n ( ' N a m e   r e q u i r e d ' ) ;       3 / / i f ( ! p r e g _ m a t c h ( ' / ^ [ - a - z 0 - 9 _ ] [ - a - z 0 - 9 _ . ] * $ / i ' ,   $ _ R E Q U E S T [ ' n a m e ' ] ) )   t h r o w   n e w E x c e p t i o n ( ' N a m e   e r r o r ' ) ;       4 / /       5 / / i f ( ! i s s e t ( $ _ R E Q U E S T [ ' i n d e x ' ] ) )   t h r o w   n e w   E x c e p t i o n ( ' I n d e x   r e q u i r e d ' ) ;       6 / / i f ( ! p r e g _ m a t c h ( ' / ^ [ 0 - 9 ] + $ / ' ,   $ _ R E Q U E S T [ ' i n d e x ' ] ) )   t h r o w   n e w   E x c e p t i o n ( ' I n d e x e r r o r ' ) ;       7 / /       8 / / i f ( ! i s s e t ( $ _ F I L E S [ ' f i l e ' ] ) )   t h r o w   n e w   E x c e p t i o n ( ' U p l o a d   r e q u i r e d ' ) ;       9 / / i f ( $ _ F I L E S [ ' f i l e ' ] [ ' e r r o r ' ]   ! =   0 )   t h r o w   n e w   E x c e p t i o n ( ' U p l o a d   e r r o r ' ) ;     1 0
    1 1 $ p a t h   =   s t r _ r e p l a c e ( ' / / ' , ' / ' , $ _ R E Q U E S T [ ' f o l d e r ' ] ) ;     1 2 $ f i l e n a m e   =   s t r _ r e p l a c e ( ' ' , ' ' , $ _ R E Q U E S T [ ' n a m e ' ] ) ;     1 3 $ t a r g e t   =     $ p a t h   .   $ f i l e n a m e   .   ' - '   . $ _ R E Q U E S T [ ' i n d e x ' ] ;     1 4     1 5 / / $ t a r g e t   =     $ _ R E Q U E S T [ ' f o l d e r ' ]   . $ _ R E Q U E S T [ ' n a m e ' ]   .   ' - '   .   $ _ R E Q U E S T [ ' i n d e x ' ] ;   1 6     1 7 m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ,   $ t a r g e t ) ;     1 8     1 9     2 0 / / $ h a n d l e   =   f o p e n ( " / t m p / d e b u g . t x t " ,   " w + " ) ;     2 1 / / f w r i t e ( $ h a n d l e ,   $ _ F I L E S [ ' f i l e ' ] [ ' t m p _ n a m e ' ] ) ;     2 2 / / f w r i t e ( $ h a n d l e ,   " n " ) ;     2 3 / / f w r i t e ( $ h a n d l e ,   $ t a r g e t ) ;     2 4 / / f c l o s e ( $ h a n d l e ) ;   2 5     2 6 / /   M i g h t   e x e c u t e   t o o   q u i c k l y .     2 7 s l e e p ( 1 ) ; 除 此 之 外 ， 我 们 还 发 现 了 另 外 一 个 个 远 程 命 令 执 行 漏 洞 （ R C E ） 和 身 份 验 证 命 令 执 行 漏 洞 ， 在 此 就 不 作 公 开 。 由 于 这 些 漏 洞 在 此 之 前 ， 没 人 发 现 或 爆 料 过 ， 可 以 算 是 西 部 数 据 N A S 设 备 的 0 d a y 漏 洞 。
漏 洞 总 结 漏 洞 总 结 漏 洞 总 结 漏 洞 总 结 1   x   登 录 验 证 绕 过 漏 洞 1   x   任 意 文 件 上 传 漏 洞 1   x   无 需 用 户 验 证 的 远 程 代 码 执 行 漏 洞 1 x   身 份 验 证 命 令 执 行 漏 洞 漏 洞 影 响 范 围 漏 洞 影 响 范 围 漏 洞 影 响 范 围 漏 洞 影 响 范 围 涉 及 西 部 数 据 以 下 型 号 系 列 的 N A S 设 备 M y   C l o u d M y   C l o u d   G e n   2 M y   C l o u d   M i r r o r M y   C l o u d   P R 2 1 0 0 M y   C l o u d   P R 4 1 0 0 M y   C l o u d   E X 2   U l t r a M y   C l o u d   E X 2 M y   C l o u d   E X 4 M y   C l o u d   E X 2 1 0 0   后 续 的 补 丁 更 新 和 相 关 情 况 ， 请 继 续 关 注 我 们 的 T w i t t e r   @ e x p l o i t e r s   * 参 考 来 源 ： e x p l o i t e e r s ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . c o m 。  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理