搜索

[14185] 2019-06-03_看我如何利用Drupal漏洞并通过恶意图片实现一键RCE

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2019-06-03_看我如何利用Drupal漏洞并通过恶意图片实现一键RCE 看 我 如 何 利 用 D r u p a l 漏 洞 并 通 过 恶 意 图 片 实 现 一 键 R C E A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 6 - 0 3 近 期 ， 近 期 ， D r u p a l 发 布 了 两 个 针 对 发 布 了 两 个 针 对 7 . x 和 和 8 . x 版 本 的 关 键 漏 洞 修 复 补 丁 。 攻 击 者 可 以 利 用 这 两 个 漏 洞 来 实 现 远 程 代 码 版 本 的 关 键 漏 洞 修 复 补 丁 。 攻 击 者 可 以 利 用 这 两 个 漏 洞 来 实 现 远 程 代 码 执 行 ， 但 他 们 首 先 要 将 恶 意 图 片 上 传 至 远 程 服 务 器 ， 并 通 过 一 系 列 伪 造 链 接 来 欺 骗 已 认 证 的 网 站 管 理 员 来 帮 助 执 行 ， 但 他 们 首 先 要 将 恶 意 图 片 上 传 至 远 程 服 务 器 ， 并 通 过 一 系 列 伪 造 链 接 来 欺 骗 已 认 证 的 网 站 管 理 员 来 帮 助 他 们 实 现 代 码 执 行 。 虽 然 这 种 方 式 比 较 他 们 实 现 代 码 执 行 。 虽 然 这 种 方 式 比 较 “ 曲 折 曲 折 ” ， 但 这 也 已 经 足 够 了 。 ， 但 这 也 已 经 足 够 了 。 漏 洞 利 用 演 示 视 频 漏 洞 利 用 演 示 视 频 这 两 个 漏 洞 编 号 分 别 为 Z D I - 1 9 - 1 3 0 和 Z D I - 1 9 - 2 9 1 ， 将 这 两 个 漏 洞 组 合 使 用 后 ， 攻 击 者 将 能 够 实 现 一 键 式 代 码 执 行 。 在 账 户 注 册 的 过 程 中 ， 攻 击 者 可 以 将 嵌 入 了 恶 意 代 码 的 图 片 以 头 像 的 形 式 上 传 ， 也 可 以 在 论 坛 的 评 论 区 上 传 。 已 禁 用 用 户 注 册 和 用 户 评 论 功 能 的 D r u p a l 网 站 不 会 受 到 这 种 攻 击 的 影 响 ， 请 广 大 网 站 管 理 员 尽 快 将 自 己 的 D r u p a l 站 点 升 级 为 最 新 版 本 。 其 中 ， Z D I - 1 9 - 1 3 0 是 一 个 P H P 反 序 列 化 漏 洞 ， 该 漏 洞 将 允 许 攻 击 者 利 用 网 站 管 理 员 来 实 现 远 程 代 码 执 行 ， 而 Z D I - 1 9 - 2 9 1 是 一 个 持 久 型 X S S 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 强 迫 网 站 管 理 员 发 送 恶 意 请 求 ， 并 触 发 漏 洞 Z D I - 1 9 - 1 3 0 。
关 于 Z D I - 1 9 - 1 3 0 的 利 用 原 理 可 以 参 考 T h o m a s 在 今 年 B l a c k   H a t 上 的 演 讲 【 白 皮 书 】 ， 或 参 考 T h o m a s 在 B S i d e s M C R 上 的   演 讲 内 容 。 简 而 言 之 ， 这 是 一 种 通 过 P h a r 文 件 触 发 P H P 反 序 列 化 漏 洞 的 一 种 新 方 法 ， P H P   P h a r 文 件 的 元 数 据 会 以 P H P 序 列 化 对 象 的 形 式 存 储 ， 针 对 P h a r 文 件 的 文 件 操 作 会 触 发 服 务 器 在 已 存 储 的 元 数 据 上 执 行 反 序 列 化 - u n s e r i a l i z a t i o n ( ) 操 作 ， 并 最 终 导 致 远 程 代 码 执 行 。 漏 洞 Z D I - 1 9 - 2 9 1 则 是 D r u p a l 在 处 理 已 上 传 文 件 的 文 件 名 过 程 中 存 在 的 一 个 漏 洞 ， 该 漏 洞 与 P C R E - P e r l 兼 容 的 正 则 表 达 式 有 关 。 当 用 户 上 传 文 件 时 ， D r u p a l 会 使 用 P R C E 来 修 改 文 件 名 ， 以 避 免 文 件 名 重 复 。 但 是 如 果 多 次 上 传 文 件 ， D r u p a l 就 会 删 除 文 件 的 扩 展 名 ， 并 导 致 攻 击 者 可 以 上 传 任 意 H T M L 文 件 。 漏 洞 分 析 漏 洞 分 析 攻 击 第 一 阶 段 ： 攻 击 第 一 阶 段 ： Z D I - 1 9 - 2 9 1 这 份 P H P 代 码 段 可 以 用 来 测 试 D r u p a l 的 部 分 源 码 ： h t t p s : / / g i t h u b . c o m / d r u p a l / d r u p a l / b l o b / d e f 2 9 0 c 1 f e 4 1 8 0 5 a 4 1 9 e 0 0 6 b b 1 2 0 d b 8 5 7 5 5 2 0 1 e 3 / c o r e / i n c l u d e s / f i l e . i n c # L 7 7 5 根 据 源 码 的 注 释 ， 下 面 这 段 代 码 会 尝 试 删 除 文 件 名 中 值 小 于 0 x 0 2 的 A S C I I 控 制 字 符 ， 并 将 其 替 换 成 下 划 线 （ ‘ _ ‘ ） 。 代 码 中 的 ’ / u ’ 表 示 P H P 引 擎 会 将 P C R E 表 达 式 以 及 相 关 字 符 串 以 U T F - 8 编 码 进 行 处 理 ： 攻 击 第 一 阶 段 测 试 结 果 ： 攻 击 第 一 阶 段 测 试 结 果 ： 其 中 ， x F F 字 节 已 经 失 效 ， x 8 0 字 节 没 有 有 效 的 起 始 字 节 ， P H P 抛 出 了 一 个 “ P R E G _ B A D _ U T F 8 _ E R R O R ” 错 误 ， $ b a s e n a m e 变 量 被 设 置 为 了 N U L L 。 在 D r u p a l 源 码 中 ， 执 行 完 p r e g r e p l a c e ( ) 后 不 会 进 行 错 误 检 查 。 当 一 个 带 有 无 效 U T F - 8 字 符 文 件 名 的 图 片 上 传 至 D r u p a l 两 次 时 ， 该 函 数 将 会 使 用 $ d e s t i n a t i o n ， 也 就 是 ’ ’ . $ c o u n t e r + + 的 结 果 。
这 样 一 来 ， 攻 击 者 就 可 以 通 过 用 户 注 册 功 能 向 D r u p a l 网 站 上 传 一 个 G I F 图 片 ， 然 后 D r u p a l 会 用 以 下 方 式 存 储 图 片 ： 而 不 是 默 认 存 储 方 式 ： 虽 然 应 用 会 对 上 传 图 片 的 属 性 进 行 检 测 ， 但 添 加 “ G I F ” 或 “ . g i f ” 字 样 已 经 可 以 满 足 检 测 条 件 了 。 另 一 种 方 法 是 通 过 评 论 编 辑 器 上 传 恶 意 G I F 文 件 。 这 种 情 况 下 ， 图 片 会 被 存 储 至 / s i t e s / d e f a u l t / f i l e s / i n l i n e - i m a g e s / _ 0 。 但 是 ， 攻 击 者 在 评 论 某 篇 文 章 之 前 注 册 一 个 用 户 账 号 。 攻 击 者 将 恶 意 G I F / H T M L 文 件 上 传 至 D r u p a l 服 务 器 之 后 ， 可 以 欺 骗 浏 览 器 将 文 件 以 H T M L 页 面 的 形 式 呈 现 出 来 ： 此 时 ， 攻 击 者 将 可 以 在 目 标 D r u p a l 站 点 上 实 现 持 久 化 X S S 攻 击 了 。 通 过 利 用 这 种 漏 洞 ， 攻 击 者 将 能 够 强 迫 拥 有 管 理 员 权 限 的 用 户 发 送 攻 击 第 二 阶 段 的 恶 意 请 求 。 可 执 行 P o C ： h t t p s : / / g i t h u b . c o m / t h e z d i / P o C / b l o b / m a s t e r / D r u p a l / d r u p a l _ x s s _ r c e . z i p 漏 洞 利 用 漏 洞 利 用 - 第 二 阶 段 ： 第 二 阶 段 ： Z D I - 1 9 - 1 3 0 Z D I - 1 9 - 1 3 0 是 一 个 反 序 列 化 漏 洞 ， 可 以 通 过 / a d m i n / c o n f i g / m e d i a / f i l e - s y s t e m 节 点 的 f i l e _ t e m p o r a r y _ p a t h 请 求 参 数 来 触 发 。 攻 击 者 还 可 以 指 定 “ p h a r : / / ” 流 封 装 器 来 让 f i l e _ t e m p o r a r y _ p a t h 请 求 参 数 指 向 攻 击 者 上 传 至 D r u p a l 服 务 器 的 恶 意 P h a r 文 档 。 下 面 的 s y s t e m _ c h e c k _ d i r e c t o r y ( ) 函 数 是 表 单 回 调 函 数 ， 负 责 处 理 用 户 请 求 。 根 据 我 们 的 研 究 ， “ ! i s _ d i r ( $ d i r e c t o r y ) ” 可 以 直 接 让 P H P 触 发 针 对 P h a r 文 档 中 元 数 据 的 反 序 列 化 操 作 。 通 过 P O P 链 利 用 技 术 ， 攻 击 者 将 能 够 使 用 专 门 制 作 的 P h a r / s i t e s / d e f a u l t / f i l e s / p i c t u r e s / < Y Y Y Y - M M > / _ 0 / s i t e s / d e f a u l t / f i l e s / p i c t u r e s / < Y Y Y Y - M M > / p r o f i l e _ p i c . g i f
文 档 来 在 W e b 服 务 器 中 实 现 任 意 代 码 执 行 。 漏 洞 利 用 漏 洞 利 用 - 第 二 阶 段 ： 第 二 阶 段 ： P o l y g l o t 文 件 文 件 在 利 用 Z D I - 1 9 - 1 3 0 之 前 ， 我 们 需 要 上 传 一 个 P h a r 文 档 ， 我 们 可 以 在 用 户 注 册 阶 段 将 J P E G / P h a r   P o l y g l o t 文 件 以 用 户 头 像 的 形 式 上 传 。 下 面 给 出 的 是 一 个 J P E G / P h a r P o l y g l o t 文 件 样 本 ， 它 会 执 行 c a t   / e t c / p a s s w d 命 令 ， 并 利 用 漏 洞 Z D I - 1 9 - 1 3 0 。 P h a r 文 档 跟 J A R 文 件 很 像 ， 它 是 一 个 组 件 包 集 合 文 件 。 在 我 们 的 漏 洞 利 用 场 景 中 ， 使 用 的 是 基 于 T A R 的 P h a r 文 档 。 为 了 创 建 P o l y g l o t 文 件 ， 攻 击 者 需 要 选 择 一 个 J P E G 图 片 向 量 。 基 于 T A R 的 恶 意 P h a r 文 档 需 要 存 储 在 J P E G 文 件 开 头 的 J P E G 注 释 域 中 。 需 要 注 意 的 是 ， 我 们 需 要 修 复 T A R 文 件 的 校 验 码 ， 否 则 T A R 文 件 会 崩 溃 。 *   参 考 来 源 ： 参 考 来 源 ： t h e z d i ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理