搜索

[13602] 2019-01-01_带外通道BindXML外部实体注入漏洞：PayPal案例研究

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2019-01-01_带外通道BindXML外部实体注入漏洞：PayPal案例研究 带 外 通 道 B i n d   X M L 外 部 实 体 注 入 漏 洞 ： P a y P a l 案 例 研 究 生 如 夏 花   F r e e B u f   2 0 1 9 - 0 1 - 0 1 应 用 程 序 如 果 存 在 解 析 应 用 程 序 如 果 存 在 解 析 X M L 的 功 能 可 能 会 存 在 的 功 能 可 能 会 存 在 X M L 外 部 实 体 注 入 漏 洞 ， 当 输 入 包 含 对 外 部 实 体 引 用 的 外 部 实 体 注 入 漏 洞 ， 当 输 入 包 含 对 外 部 实 体 引 用 的 X M L 而 而 由 不 安 全 配 置 的 由 不 安 全 配 置 的 X M L 解 析 器 处 理 时 ， 会 造 成 漏 洞 。 它 会 导 致 机 密 数 据 泄 露 ， 拒 绝 服 务 ， 服 务 器 端 请 求 伪 造 风 解 析 器 处 理 时 ， 会 造 成 漏 洞 。 它 会 导 致 机 密 数 据 泄 露 ， 拒 绝 服 务 ， 服 务 器 端 请 求 伪 造 风 险 ， 以 及 进 行 内 网 端 口 扫 描 等 其 他 系 统 影 响 。 险 ， 以 及 进 行 内 网 端 口 扫 描 等 其 他 系 统 影 响 。 P a y P a l 官 方 网 络 应 用 程 序 官 方 网 络 应 用 程 序 ( P a y P a l   I n c   –   P a y P a l   M u l t i - O r d e r S h i p p i n g   A p p l i c a t i o n   [ C o r e ] ) 则 存 在 此 安 全 漏 洞 。 则 存 在 此 安 全 漏 洞 。 背 景 ： 背 景 ： P a y P a l   M u l t i - O r d e r   S h i p p i n g 是 一 种 工 具 ， 允 许 一 次 从 P a y P a l 账 户 打 印 多 达 5 0 个 国 内 美 国 邮 政 服 务 运 输 标 签 。 包 括 多 项 服 务 如 下 ： 从 e B a y 和 / 或 P a y P a l 导 入 交 易 手 动 创 建 一 个 或 多 个 a d - h o c 标 签 获 取 订 单 准 备 打 印 标 签 修 改 订 单 的 送 货 详 细 信 息 为 订 单 添 加 保 险 和 签 名 确 认 将 多 个 订 单 合 并 为 一 个 货 件 还 原 合 并 订 单 在 “ 发 运 订 单 ” 选 项 卡 中 添 加 或 删 除 列 应 用 程 序 设 置 和 省 时 工 具 打 印 标 签 和 支 持 文 档 C a r r i e r   P i c k u p ™ 和 装 运 后 管 理 识 别 阶 段 ： 识 别 阶 段 ：
在 通 过 拦 截 环 境 中 的 请 求 来 测 试 应 用 程 序 的 功 能 时 ， 以 下 请 求 引 起 了 我 的 注 意 ， 发 现 该 应 用 程 序 是 基 于 X M L 的 ， 与 服 务 器 交 换 的 请 求 是 X M L 格 式 的 结 构 化 数 据 。 在 第 一 次 测 试 中 ， 我 们 需 要 确 认 实 体 是 以 最 基 本 的 形 式 解 析 的 。 所 以 我 们 用 内 联 实 体 替 换 V A L U E 来 分 析 服 务 器 行 为 ：
返 回 的 响 应 是 无 效 的 输 入 错 误 ， 因 此 服 务 器 有 一 个 反 射 点 来 显 示 注 入 的 p a y l o a d ， 因 为 X M L 请 求 是 用 户 提 供 的 ， 我 测 试 了 基 本 的 X M L 注 入 ， 通 过 尝 试 使 用 注 入 实 体 提 取 文 件 来 检 查 应 用 程 序 的 X M L 处 理 方 法 ， 将 读 取 远 程 文 件 回 显 在 客 户 端 。 此 攻 击 的 思 路 是 声 明 外 部 通 用 实 体 并 引 用 网 络 资 源 或 本 地 的 内 部 文 件 ： 我 们 注 意 到 应 用 程 序 只 检 查 的 位 置 ： 字 符 串 ， 数 字 ， C D A T A 值 。 不 使 用 从 文 档 内 的 元 数 据 或 实 体 引 用 的 值 。 因 此 ， 在 提 交 请 求 后 无 法 获 得 直 接 回 显 。 X X E 带 外 通 道 的 利 用 带 外 通 道 的 利 用 X X E 处 理 概 述 ： 处 理 概 述 ： 默 认 情 况 下 ， X M L 解 析 器 通 常 支 持 外 部 引 用 ， 外 部 实 体 可 以 引 用 解 析 器 文 件 系 统 上 的 文 件 。 外 部 实 体 通 常 也 可 以 通 过 H T T P 协 议 处 理 程 序 引 用 网 络 资 源 。 向 其 他 系 统 发 送 请 求 的 能 力 可 以 使 易 受 攻 击 的 服 务 器 用 作 攻 击 代 理 。 通 过 提 交 合 适 的 有 效 p a y l o a d ， 攻 击 者 可 以 使 应 用 程 序 服 务 器 来 攻 击 可 以 与 之 交 互 的 其 他 系 统 。 这 可 能 包 括 公 共 第 三 方 系 统 ， 同 一 组 织 内 的 内 部 系 统 ， 或 应 用 程 序 服 务 器 本 身 的 本 地 环 回 适 配 器 上 可 用 的 服 务 。 根 据 网 络 架 构 ， 这 可 能 会 暴 露 给 外 部 攻 击 者 无 法 访 问 的 高 度 脆 弱 的 内 部 服 务 。 我 们 注 意 到 应 用 程 序 只 检 查 的 位 置 ： 字 符 串 ， 数 字 ， C D A T A 值 。 不 使 用 从 文 档 内 的 元 数 据 或 实 体 引 用 的 值 。 因 此 ， 在 提 交 请 求 后 无 法 获 得 直 接 回 显 。
攻 击 方 法 ： 攻 击 方 法 ： 1 . 绕 过 X X E 注 入 点 无 法 直 接 回 显 经 过 多 次 测 试 后 ， 我 确 认 没 有 直 接 回 显 通 道 ， 但 可 以 强 制 服 务 器 在 响 应 中 显 示 结 果 。 所 以 我 使 用 了 一 种 技 术 ， 我 们 使 用 “ D O C T Y P E ” 中 的 外 部 实 体 注 入 X M L   p a y l o a d 而 不 是 一 般 实 体 ， 带 有 S Y S T E M 关 键 字 的 D O C T Y P E 声 明 会 导 致 X M L 解 析 器 从 U R I 读 取 数 据 并 允 许 它 继 续 进 入 文 档 ： 应 用 程 序 服 务 器 响 应 了 内 部 服 务 器 错 误 消 息 ， 在 我 发 送 请 求 后 ， 我 的 服 务 器 从 P a y P a l 的 内 部 服 务 器 收 到 连 接 ： 现 在 我 们 确 认 了 外 部 实 体 已 激 活 ， 这 意 味 着 允 许 从 被 攻 击 的 服 务 器 连 接 到 其 他 远 程 系 统 ， 并 且 可 以 使 用 外 部 D T D 通 过 W e b 请 求 读 取 本 地 文 件 。 这 种 技 术 将 允 许 我 们 从 我 们 控 制 的 主 机 请 求 任 何 网 络 资 源 ， 而 资 源 可 以 托 管 在 H T T P 服 务 器 ， F T P 服 务 器 等 上 。 1 . 通 过 带 外 通 过 带 外 X X E 参 数 实 体 搜 索 数 据 ： 参 数 实 体 搜 索 数 据 ： 为 了 克 服 解 析 限 制 ， 例 如 （ 有 限 使 用 外 部 实 体 ， 在 主 X M L 文 档 中 引 用 通 用 / 参 数 实 体 ） ， 我 想 到 ： 在 D T D 定 义 中 使 用 参 数 实 体 。 使 服 务 器 与 我 的 外 部 域 交 互 并 解 析 X X E   p a y l o a d ， 而 不 是 直 接 在 X M L 文 档 中 执 行 攻 击 。
可 以 通 过 仅 引 用 托 管 的 D T D 资 源 来 执 行 此 攻 击 。 只 要 服 务 器 处 理 X M L 请 求 ， 该 请 求 甚 至 不 必 包 含 任 何 X M L 主 体 。 A . 通 过 协 议 处 理 程 序 进 行 通 过 协 议 处 理 程 序 进 行 X X E 数 据 搜 索 ： 数 据 搜 索 ： 参 数 实 体 帮 助 我 们 使 用 上 述 技 术 通 过 外 部 实 体 访 问 来 从 被 攻 击 的 服 务 器 中 向 外 部 服 务 器 传 输 文 件 资 源 内 容 。 虽 然 解 析 器 存 在 漏 洞 ， 但 不 支 持 直 接 输 出 回 显 。 现 在 的 目 标 是 访 问 服 务 器 的 内 部 本 地 文 件 / 资 源 （ 文 件 泄 露 ） ， 利 用 支 持 各 种 U R L 方 案 / 协 议 的 许 多 平 台 / 解 析 器 中 使 用 的 协 议 处 理 程 序 （ 封 装 ） ： 从 目 标 应 用 程 序 执 行 数 据 提 取 并 连 接 到 我 的 服 务 器 以 获 取 D T D ， 然 后 发 送 文 件 内 容 。 假 设 有 严 格 的 防 火 墙 限 制 ， 我 测 试 了 不 同 的 协 议 处 理 程 序 和 公 共 端 口 （ 2 1 , 2 3 , 8 0 , 4 4 3 , 8 0 8 0 ， … ） 然 后 我 意 识 到 目 标 服 务 器 阻 止 到 某 些 T C P 端 口 的 传 出 连 接 ， 例 如 ： 2 1 （ F T P ） ， 8 0 8 0 , 8 0 0 0 , 1 3 3 7 , 2 2 2 2   … … 等 。 但 是 ， 我 们 仍 然 可 以 选 择 通 过 H T T P   /   H T T P S 请 求 将 任 意 文 件 提 取 回 受 控 域 。 在 提 取 “ / e t c / p a s s w d ” 文 件 之 后 ， 经 过 几 次 尝 试 ， 几 秒 钟 就 会 打 开 连 接 并 收 到 文 件 内 容 ： 注 意 到 U R L 中 发 送 的 数 据 长 度 几 乎 肯 定 是 有 限 的 ， 这 取 决 于 某 些 特 定 的 实 现 ， 这 就 是 为 什 么 使 用 这 种 方 法 只 能 读 取 一 行 / e t c / p a s s w d 的 内 容 。 U R L 通 常 必 须 由 正 确 形 成 的 U n i c o d e 数 据 组 成 ， 并 且 还 必 须 符 合 特 定 X M L 库 对 U R L 中 允 许 的 字 符 的 限 制 。 有 时 解 析 器 不 会 检 查 创 建 的 U R I 的 长 度 ， 并 且 许 多 解 析 器 会 自 动 转 换 换 行 符 （ X e r c e s 用 空 格 替 换 它 们 ， 而
S y s t e m . X M L 进 程 用 U R L 编 码 替 换 ） 。 B . B y p a s s   U R I 长 度 和 服 务 器 防 火 墙 限 制 ： 长 度 和 服 务 器 防 火 墙 限 制 ： 考 虑 以 下 ： 控 制 将 在 我 们 受 控 服 务 器 侧 检 查 的 数 据 块 长 度 。 从 易 受 攻 击 的 服 务 器 建 立 到 远 程 系 统 的 连 接 ， 可 以 使 用 外 部 D T D 来 泄 露 数 据 。 使 用 P a y P a l 远 程 服 务 器 控 制 T C P 通 信 协 议 。 模 拟 自 定 义 服 务 器 并 监 听 端 口 ， 包 括 （ H T T P S ， H T T P ） 。 因 此 ， 为 了 克 服 此 限 制 而 不 是 来 设 置 H T T P 服 务 器 的 配 置 ， 我 使 用 了 一 种 技 术 来 欺 骗 目 标 服 务 器 以 开 启 与 端 口 4 4 3 （ h t t p s ） 上 的 自 定 义 F T P 服 务 器 的 连 接 ， 来 自 多 行 U R I 的 每 一 行 将 作 为 单 独 的 命 令 被 请 求 。 X M L 解 释 器 解 析 外 部 D T D 文 件 后 ， 要 读 取 的 文 件 内 容 将 发 送 到 自 定 义 F T P 服 务 器 上 ， 并 仅 在 一 个 请 求 中 收 集 到 所 有 数 据 。 因 此 ， 我 们 的 最 终 p a y l o a d ： P O C 源 代 码 ： 源 代 码 ： 自 定 义 F T P 服 务 器   h t t p s : / / g i t h u b . c o m / G i t r 0 0 7 / B u g - B o u n t y - V u l n e r a b i l i t y - R e s e a r c h / b l o b / m a s t e r / P a y p a l % 2 0 M u l t i O r d e r % 2 0 S h i p p i n g % 2 0 X X E / c u s t o m _ f t p _ s e r v e r . r b H T T P 服 务 器   h t t p s : / / g i t h u b . c o m / G i t r 0 0 7 / B u g - B o u n t y - V u l n e r a b i l i t y - R e s e a r c h / b l o b / m a s t e r / P a y p a l % 2 0 M u l t i O r d e r % 2 0 S h i p p i n g % 2 0 X X E / h t t p _ s e r v e r . p y 在 f u z z 更 多 功 能 之 后 ， 我 可 以 利 用 带 外 X X E 来 发 现 一 些 文 件 ， 并 且 可 以 进 行 更 多 的 攻 击 。 这 种 风 险 使 远 程 攻 击 者 （ 没 有 特 权 或 用 户 交 互 ） 访 问 P a y P a l 服 务 器 及 其 内 部 系 统 。
远 程 执 行 代 码 场 景 ： 远 程 执 行 代 码 场 景 ： 这 种 后 果 非 常 危 险 ， 攻 击 者 能 够 有 效 地 绕 过 严 格 的 防 火 墙 ， 授 权 方 案 ， 造 成 敏 感 数 据 泄 露 和 P a y P a l 内 部 网 络 访 问 。 在 我 们 的 案 例 中 ， 我 在 运 行 X X E 之 后 成 功 地 将 任 何 类 型 的 数 据 泄 露 到 我 的 外 部 服 务 器 ， 这 使 我 能 够 看 到 目 标 系 统 并 识 别 已 安 装 的 应 用 程 序 ， 从 而 获 得 R C E 的 立 足 点 。 我 想 方 法 来 读 取 配 置 文 件 ， 服 务 器 日 志 文 件 ， 用 户 历 史 记 录 和 内 部 主 机 信 息 等 。 由 于 P a y P a l 信 息 的 敏 感 性 ， 我 不 允 许 分 享 R C E 利 用 部 分 。 1 .   通 过 历 史 记 录 日 志 访 问 W e b 管 理 门 户 ： 2 .   检 查 历 史 日 志 的 内 容 （ 例 如 ： ~ / . b a s h _ h i s t o r y ） ， 查 找 已 部 署 的 服 务 。 3 .   执 行 本 地 系 统 文 件 扫 描 。 4 .   确 定 A p a c h e   T o m c a t 应 用 程 序 。 5 .   通 过 X X E 进 行 探 测 来 发 送 A p a c h e   T o m c a t 配 置 文 件 ， 身 份 验 证 凭 据 返 回 给 我 们 的 服 务 器 。 6 .   在 配 置 中 找 到 U R L 后 ， W e b 浏 览 器 将 访 问 W e b 管 理 控 制 台 。 7 .   确 认 R C E ， 授 予 访 问 权 限 。 * 参 考 链 接 ： 参 考 链 接 ： r 0 0 t h u n t ， 由 生 如 夏 花 编 译 ， 转 载 请 注 明 来 自 ， 由 生 如 夏 花 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理