搜索

[13958] 2019-04-07_RubyonRails路径穿越与任意文件读取漏洞分析

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2019-04-07_RubyonRails路径穿越与任意文件读取漏洞分析 R u b y   o n   R a i l s 路 径 穿 越 与 任 意 文 件 读 取 漏 洞 分 析 L E d g e 1   F r e e B u f   2 0 1 9 - 0 4 - 0 7 R u b y   o n   R a i l s 是 一 个 是 一 个   W e b   应 用 程 序 框 架 应 用 程 序 框 架 , 是 一 个 相 对 较 新 的 是 一 个 相 对 较 新 的   W e b   应 用 程 序 框 架 ， 构 建 在 应 用 程 序 框 架 ， 构 建 在   R u b y   语 言 之 上 。 它 被 语 言 之 上 。 它 被 宣 传 为 现 有 企 业 框 架 的 一 个 替 代 ， 而 它 的 目 标 ， 就 是 让 宣 传 为 现 有 企 业 框 架 的 一 个 替 代 ， 而 它 的 目 标 ， 就 是 让   W e b   开 发 方 面 的 生 活 ， 变 得 更 轻 松 。 开 发 方 面 的 生 活 ， 变 得 更 轻 松 。 【 C V E - 2 0 1 9 - 5 4 1 8 】 漏 洞 公 告 ：   公 告 地 址 。 这 个 漏 洞 主 要 是 由 于 网 站 使 用 了 为 指 定 参 数 的 r e n d e r   f i l e 来 渲 染 应 用 之 外 的 视 图 ， 我 们 可 以 通 过 修 改 访 问 某 控 制 器 的 请 求 包 ， 通 过 “ . . / . . / . . / . . / ” 来 达 到 路 径 穿 越 的 目 的 ， 然 后 再 通 过 “ { { ” 来 进 行 模 板 查 询 路 径 的 闭 合 ， 使 得 所 要 访 问 的 文 件 被 当 做 外 部 模 板 来 解 析 。 实 验 环 境 实 验 环 境 C e n t o s 7 桌 面 版 ， 装 有 R u b y   O n   R a i l s 环 境 。 R u b y   O n   R a i l s 环 境 搭 建 环 境 搭 建 1 .       安 装 g i t     # y u m   i n s t a l l   g i t 2 .       安 装 r b e n v 到 ~ / . r b e n v 目 录 3 .       安 装 r b e n v 的 插 ， 用 来 编 译 安 装   r u b y 4 .       用 来 管 理   g e m s e t ,   可 选 ,   因 为 有   b u n d l e r   也 没 什 么 必 要 5 .       通 过   g e m   命 令 安 装 完   g e m   后 无 需 手 动 输 入   r b e n v   r e h a s h   命 令 6 .       通 过   r b e n v   u p d a t e   命 令 来 更 新   r b e n v   以 及 所 有 插 件 V e r s i o n s   A f f e c t e d :     A l l .   N o t   a f f e c t e d :               N o n e .   F i x e d   V e r s i o n s :           6 . 0 . 0 . b e t a 3 ,   5 . 2 . 2 . 1 ,   5 . 1 . 6 . 2 ,   5 . 0 . 7 . 2 ,   4 . 2 . 1 1 . 1   I m p a c t   T h e r e   i s   a   p o s s i b l e   f i l e   c o n t e n t   d i s c l o s u r e   v u l n e r a b i l i t y   i n   A c t i o n   V i e w .   S p e c i a l l y   c r a f t e d   a c c e p t   h e a d e r s   i n   c o m b i n a t i o n   w i t h   c a l l s   t o   r e n d e r   f i l e :   c a n   c a u s e   a r b i t r a r y   f i l e s   o n   t h e   t a r g e t   s e r v e r   t o   b e   r e n d e r e d ,   d i s c l o s i n g   t h e   f i l e   c o n t e n t s .   T h e   i m p a c t   i s   l i m i t e d   t o   c a l l s   t o   r e n d e r   w h i c h   r e n d e r   f i l e   c o n t e n t s   w i t h o u t   a   s p e c i f i e d   a c c e p t   f o r m a t .     I m p a c t e d   c o d e   i n   a   c o n t r o l l e r   l o o k s   s o m e t h i n g   l i k e   t h i s :   c l a s s   U s e r C o n t r o l l e r   <   A p p l i c a t i o n C o n t r o l l e r   d e f   i n d e x           r e n d e r   f i l e :   " # { R a i l s . r o o t } / s o m e / f i l e "   e n d   e n d g i t   c l o n e g i t : / / g i t h u b . c o m / s s t e p h e n s o n / r b e n v . g i t ~ / . r b e n v g i t   c l o n e g i t : / / g i t h u b . c o m / s s t e p h e n s o n / r u b y - b u i l d . g i t ~ / . r b e n v / p l u g i n s / r u b y - b u i l d g i t   c l o n e   g i t : / / g i t h u b . c o m / j a m i s / r b e n v - g e m s e t . g i t   ~ / . r b e n v / p l u g i n s / r b e n v - g e m s e t g i t   c l o n e g i t : / / g i t h u b . c o m / s s t e p h e n s o n / r b e n v - g e m - r e h a s h . g i t ~ / . r b e n v / p l u g i n s / r b e n v - g e m - r e h a s h g i t   c l o n e   g i t : / / g i t h u b . c o m / r k h / r b e n v - u p d a t e . g i t ~ / . r b e n v / p l u g i n s / r b e n v - u p d a t e
7 .       使 用   R u b y   C h i n a   的 镜 像 安 装   R u b y ,   国 内 用 户 推 荐 8 .       然 后 需 要 将 下 面 两 句 代 码 放 在 b a s h 的 配 置 文 件 中 ： 9 .       位 置 是 在 . b a s h _ p r o f i l e （ U b u n t u 中 应 该 是 . b a s h r c ） 修 改 完 成 后 ， 执 行 下 面 的 命 令 使 其 生 效 1 0 .   安 装 r u b y 1 1 .   设 置 使 用 的 r u b y 版 本 1 2 .   安 装 r a i l s 设 置 r u b y 版 本 后 ， 安 装 r a i l s （ 指 定 r a i l s 版 本 ） ： 1 ） 在 当 前 的 r u b y 版 本 中 安 装 r a i l s 2 ） 查 看 r a i l s 安 装 版 本 3 ） 修 改 b u n d l e 的 源 地 址 （ 可 能 需 要 修 改 ， 视 情 况 而 定 。 ） 执 行 b u n d l e i n s t a l l 在 项 目 根 目 录 执 行 b u n d l e i n s t a l l 问 题 解 决 （ 在 安 装 和 运 行 的 过 程 中 ， 可 能 会 出 现 各 种 各 样 的 问 题 ，   链 接 文 字 我 就 是 安 装 下 面 的 这 些 依 赖 的 ， 但 是 不 一 定 和 我 这 个 一 样 ， 大 家 还 是 根 据 自 己 的 提 示 来 吧 ） ： 漏 洞 复 现 漏 洞 复 现 1 .       先 下 载 原 码 （ ; " > 路 径 “ / r o o t   / C V E - 2 0 1 9 - 5 4 1 8 / ” ） ，   源 码 地 址 。 2 .       进 入 “ / r o o t ” 路 径 下 ， 执 行 “ s o u r c e   . b a s h _ p r o f i l e ” g i t   c l o n e g i t : / / g i t h u b . c o m / A n d o r C h e n / r b e n v - c h i n a - m i r r o r . g i t ~ / . r b e n v / p l u g i n s / r b e n v - c h i n a - m i r r o r e x p o r t   P A T H = " $ H O M E / . r b e n v / b i n : $ P A T H " e v a l   " $ ( r b e n v   i n i t   - ) " s o u r c e   ~ / . b a s h r c r b e n v   i n s t a l l   - - l i s t     #   列 出 所 有 r u b y   版 本 r b e n v   i n s t a l l   2 . 3 . 3       # 安 装 2 . 3 . 3 版 本 R u b y r b e n v   g l o b a l   2 . 3 . 3             #   默 认 使 用 2 . 3 . 3 ， 此 步 骤 不 能 省 略 r u b y   – v                                 # 查 看 安 装 的 R u b y 版 本 g e m   i n s t a l l   r a i l s   - v   5 . 2 . 1       # 指 定 版 本 r a i l s   – v b u n d l e   c o n f i g   m i r r o r . h t t p s : / / r u b y g e m s . o r g h t t p s : / / g e m s . r u b y - c h i n a . o r g y u m   - y   i n s t a l l   g c c y u m   i n s t a l l   f l e x   a u t o c o n f   z l i b   c u r l z l i b - d e v e l   c u r l - d e v e l   b z i p 2   b z i p 2 - d e v e l n c u r s e s - d e v e l   l i b j p e g - d e v e l   l i b p n g - d e v e l   l i b t i f f - d e v e l f r e e t y p e - d e v e l   p a m - d e v e l g c c +   g c c - c + +   l i b x m l 2   l i b x m l 2 - d e v e l   l i b x s l t   l i b x s l t - d e v e l   y u m   i n s t a l l   s q l i t e *
3 .       将 下 载 得 到 的 压 缩 包 进 行 解 压 ， 进 入 d e m o 路 径 下 执 行 ： 4 .       在 d e m o 路 径 下 执 行 “ r a i l s   s ” , 开 启 服 务 。 5 .       此 时 漏 洞 环 境 已 搭 建 完 成 且 开 始 运 行 ， 使 用 浏 览 器 测 试 能 否 访 问 。 如 下 图 表 示 可 正 常 访 问 6 .       访 问 “ c h y b e t a ” 路 径 ： 7 .       我 们 使 用 浏 览 器 自 带 的 开 发 者 工 具 进 行 漏 洞 复 现 ， 按 “ f 1 2 ” 打 开 工 具 ， 修 改 这 条 请 求 ， 修 改 内 容 如 下 ： b u n d l e   i n s t a l l   . . / . . / . . / . . / . . / . . / e t c / p a s s w d { {
8 .       漏 洞 复 现 成 功 ， 成 功 读 取 到 p a s s w d 文 件 的 内 容 ：
9 .       或 者 ， 我 们 也 可 以 使 用 b u r p   s u i t e 来 抓 包 ， 设 置 好 浏 览 器 代 理 ， 访 问 “ / c h y b e t a ” 路 径 抓 包 . 我 们 只 要 修 改 好 流 量 包 的 内 容 重 新 发 送 即 可 。 用 浏 览 器 自 带 的 工 具 实 现 功 能 ， 我 就 不 想 在 使 用 B u r p   s u i t e 了 。 之 后 就 可 以 很 简 单 的 得 到 目 标 主 机 的 p a s s w d 文 件 内 容 。 漏 洞 分 析 漏 洞 分 析 漏 洞 影 响 所 有 版 本 的 r a i l s ， 但 是 目 前 已 经 有 几 个 版 本 修 复 了 此 漏 洞 ： 我 们 先 看 一 下 正 常 访 问 时 什 么 样 的 吧 ： 可 以 看 到 我 们 每 获 取 一 个 请 求 ， R u b y O n   R a i l s 就 会 使 用 R e n d e r   f i l e （ 没 有 指 定 参 数 ） 的 渲 染 模 式 来 渲 染 目 标 。 这 样 就 会 在 我 们 攻 击 的 时 候 ， 将 目 标 文 件 当 做 模 板 来 渲 染 ， 然 后 返 回 给 浏 览 器 ： 哈 哈 哈 哈 。 * *   * * r a i l s 在 控 制 器 中 通 过 r e n d e r   f i l e 形 式 来 渲 染 应 用 之 外 的 视 图 ， 因 此 在 “ . r b e n v / v e r s i o n s / 2 . 3 . 3 / l i b / r u b y / g e m s / 2 . 3 . 0 / g e m s / a c t i o n v i e w - 5 . 2 . 1 / l i b / a c t i o n v i e w / r e n d e r e r / t e m p l a t e r e n d e r e r . r b ” 中 会 根 据 “ o p t i o n s . k e y ? ( : f i l e ) ” ， 调 用 “ f i n d _ f i l e ” 函 数 来 寻 找 视 图 。 代 码 如 下 ：   “ f i n d f i l e ” 代 码 如 下 （ 路 径 为 ： “ . r b e n v / v e r s i o n s / 2 . 3 . 3 / l i b / r u b y / g e m s / 2 . 3 . 0 / g e m s / a c t i o n v i e w - 5 . 2 . 1 / l i b / a c t i o n v i e w / l o o k u p _ c o n t e x t . r b ” ） 6 . 0 . 0 . b e t a 3 , 5 . 2 . 2 . 1 5 . 1 . 6 . 2 5 . 0 . 7 . 2 4 . 2 . 1 1 . 1 m o d u l e   A c t i o n V i e w     c l a s s   T e m p l a t e R e n d e r e r   <   A b s t r a c t R e n d e r e r # : n o d o c :         #   D e t e r m i n e   t h e   t e m p l a t e   t o   b e   r e n d e r e d u s i n g   t h e   g i v e n   o p t i o n s .             d e f   d e t e r m i n e _ t e m p l a t e ( o p t i o n s )                 k e y s   =   o p t i o n s . h a s _ k e y ? ( : l o c a l s )   ? o p t i o n s [ : l o c a l s ] . k e y s   :   [ ]                 i f   o p t i o n s . k e y ? ( : b o d y )                     . . .                 e l s i f   o p t i o n s . k e y ? ( : f i l e )                     w i t h _ f a l l b a c k s   { f i n d _ f i l e ( o p t i o n s [ : f i l e ] ,   n i l ,   f a l s e ,   k e y s ,   @ d e t a i l s )   }                 . . .             e n d e n d
发 现 “ f i n d f i l e ” 又 调 用 了 “ * a r g s f o r l o o k u p ” , 所 以 我 们 继 续 跟 入 查 看 “ a r g s f o r _ l o o k u p ” 函 数 ， 代 码 如 下 ：   此 函 数 会 生 成 用 于 查 找 文 件 的 参 数 ， 当 其 最 终 返 回 时 会 把 p a y l o a d 保 存 在 d e t a i l s [ f o r m a t s ] 中 ( 大 家 自 己 做 实 验 的 时 候 可 以 直 接 访 问 一 个 不 存 在 的 文 件 ， 这 样 会 直 接 显 示 访 问 的 详 细 信 息 ) 。   再 回 到 “ f i n d f i l e ” 函 数 ， 跟 进 之 后 ， 会 进 入 到 ： “ . r b e n v / v e r s i o n s / 2 . 3 . 3 / l i b / r u b y / g e m s / 2 . 3 . 0 / g e m s / a c t i o n v i e w - 5 . 2 . 1 / l i b / a c t i o n v i e w / p a t h _ s e t . r b ” 。 由 于 要 渲 染 的 视 图 在 应 用 之 外 （ o u t s i d e a p p , 因 此 跟 入 “ f i n d a l l a n y w h e r e ” （ 在 “ . r b e n v / v e r s i o n s / 2 . 3 . 3 / l i b / r u b y / g e m s / 2 . 3 . 0 / g e m s / a c t i o n v i e w - 5 . 2 . 1 / l i b / a c t i o n v i e w / t e m p l a t e / r e s o l v e r . r b ” ） ： 进 入 f i n d _ t e m p l a t e s ， 这 就 是 根 据 条 件 来 查 找 要 渲 染 的 模 板 ： 从 代 码 便 可 以 看 到 ， 所 查 找 的 模 板 会 赋 值 给 d e t a i l s [ : f o r m a t s ] , 如 果 建 立 建 立 查 询 后 ， 查 询 内 容 就 会 如 下 ： 利 用 . . / 与 前 缀 组 合 造 成 路 径 穿 越 ， 利 用 最 后 的 { { 完 成 闭 合 。 最 后 “ / e t c / p a s s w d ” 被 当 成 模 板 文 件 进 行 渲 染 ， 最 后 造 成 了 任 意 文 件 读 取 。 使 用 I D E 环 境 进 行 调 试 ， 最 后 组 成 的 路 径 应 该 是 ： 漏 洞 修 复 漏 洞 修 复 1 .     使 用 已 经 修 复 该 漏 洞 的 版 本 c l a s s   P a t h S e t   # : n o d o c :       d e f   f i n d _ f i l e ( p a t h ,   p r e f i x e s   =   [ ] ,   * a r g s )           _ f i n d _ a l l ( p a t h ,   p r e f i x e s ,   a r g s ,   t r u e ) . f i r s t   | | r a i s e ( M i s s i n g T e m p l a t e . n e w ( s e l f ,   p a t h ,   p r e f i x e s ,   * a r g s ) )       e n d       p r i v a t e         # 注 ， 这 里 的   a r g s   即 前 面 a r g s _ f o r _ l o o k u p 生 成 的 d e t a i l s               d e f   _ f i n d _ a l l ( p a t h ,   p r e f i x e s ,   a r g s ,   o u t s i d e _ a p p )                       p r e f i x e s   =   [ p r e f i x e s ]   i f   S t r i n g   = = =   p r e f i x e s                       p r e f i x e s . e a c h   d o   | p r e f i x |                       p a t h s . e a c h   d o   | r e s o l v e r |                                 i f   o u t s i d e _ a p p                                 t e m p l a t e s   = r e s o l v e r . f i n d _ a l l _ a n y w h e r e ( p a t h ,   p r e f i x ,   * a r g s )                                 e l s e                                 t e m p l a t e s   = r e s o l v e r . f i n d _ a l l ( p a t h ,   p r e f i x ,   * a r g s )                                 e n d                                 r e t u r n   t e m p l a t e s   u n l e s s t e m p l a t e s . e m p t y ?                       e n d                       e n d                       [ ]               e n d d e f   f i n d _ a l l _ a n y w h e r e ( n a m e ,   p r e f i x ,   p a r t i a l =   f a l s e ,   d e t a i l s   =   { } ,   k e y   =   n i l ,   l o c a l s   =   [ ] )       c a c h e d ( k e y ,   [ n a m e ,   p r e f i x ,   p a r t i a l ] ,   d e t a i l s ,   l o c a l s )   d o       f i n d _ t e m p l a t e s ( n a m e ,   p r e f i x ,   p a r t i a l ,   d e t a i l s ,   t r u e )       e n d e n d / e t c / p a s s w d { { } , } { + { } , } { . { r a w , e r b , h t m l , b u i l d e r , r u b y , c o f f e e , j b u i l d e r } , }
2 .     补 丁 ： 补 丁 地 址 * 本 文 作 者 ： 本 文 作 者 ： L E d g e 1 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理