搜索

[14763] 2019-10-31_如何通过BDC反序列化在MicrosoftSharePoint上执行任意代码

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2019-10-31_如何通过BDC反序列化在MicrosoftSharePoint上执行任意代码 如 何 通 过 B D C 反 序 列 化 在 M i c r o s o f t   S h a r e P o i n t 上 执 行 任 意 代 码 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 0 - 3 1 写 在 前 面 的 话 写 在 前 面 的 话 在 今 年 年 初 ， 研 究 人 员 M a r k u s   W u l f t a n g e （ @ m w u l f t a n g e ） 曾 报 告 过 M i c r o s o f t   S h a r e P o i n t 中 的 一 个 远 程 代 码 执 行 漏 洞 （ R C E ） ， 该 漏 洞 的 C V E 编 号 为 C V E - 2 0 1 9 - 0 6 0 4 。 而 在 今 年 的 九 月 初 ， M a r k u s 又 在 S h a r e P o i n t 中 发 现 了 另 外 三 个 新 的 远 程 代 码 执 行 漏 洞 ， 即 C V E - 2 0 1 9 - 1 2 9 5 ， C V E - 2 0 1 9 - 1 2 9 6 和 C V E - 2 0 1 9 - 1 2 5 7 。 在 这 篇 文 章 中 ， 我 们 将 对 最 后 一 个 漏 洞 ， 也 就 是 C V E - 2 0 1 9 - 1 2 5 7 （ Z D I - 1 9 - 8 1 2 ） 进 行 详 细 分 析 。 目 前 ， 所 有 版 本 的 S h a r e P o i n t 都 会 受 到 该 漏 洞 的 影 响 ， 微 软 方 面 也 将 该 漏 洞 的 可 利 用 等 级 评 估 为 最 高 等 级 ， 这 也 就 意 味 着 在 不 久 的 将 来 ， 会 有 很 多 网 络 犯 罪 分 子 利 用 该 漏 洞 实 施 攻 击 。 漏 洞 细 节 漏 洞 细 节 这 个 漏 洞 存 在 于 微 软 S h a r e P o i n t 中 的 业 务 数 据 （ B D C ） 连 接 服 务 之 中 ， 由 于 自 定 义 的 B D C 模 型 中 可 以 使 用 任 意 的 方 法 参 数 类 型 ， 从 而 导 致 M i c r o s o f t   S h a r e P o i n t   2 0 1 6 中 的 业 务 数 据 连 接 （ B D C ） 服 务 容 易 受 到 X m l S e r i a l i z e r 流 的 任 意 反 序 列 化 的 攻 击 。 早 在 2 0 1 7 年 的 B l a c k   H a t 黑 帽 黑 客 大 会 上 ， 研 究 人 员 A l v a r o   M u ñ o z 和 O l e k s a n d r   M i r o s h 就 曾 介 绍 过 如 何 通 过 对 X m l S e r i a l i z e r 流 进 行 任 意 反 序 列 化 并 实 现 任 意 代 码 执 行 【 参 考 文 档 ： h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / u s - 1 7 / t h u r s d a y / u s - 1 7 - M u n o z - F r i d a y - T h e - 1 3 t h - J S O N - A t t a c k s - w p . p d f 】 。 S h a r e P o i n t 允 许 使 用 业 务 数 据 连 接 模 型 文 件 格 式 （ M S - B D C M F F S ） 数 据 格 式 来 指 定 自 定 义 的 B D C 模 型 ， 这 种 规 范 中 的 部 分 内 容 为 方 法 和 参 数 定 义 。 下 面 给 出 的 是 微 软 提 供 的 样 本 ：
上 述 代 码 定 义 了 一 个 名 叫 G e t C u s t o m e r 的 方 法 ， 它 负 责 封 装 一 个 名 叫 s p _ G e t C u s t o m e r 的 程 序 ， 这 两 者 的 输 入 参 数 ( D i r e c t i o n = ” I n ” ) 和 返 回 参 数 ( D i r e c t i o n = ” R e t u r n ” ) 都 使 用 了 各 自 对 应 类 型 的 描 述 来 定 义 。 在 上 述 样 本 中 ， 输 入 参 数 的 原 始 类 型 为 S y s t e m . I n t 3 2 ， 这 就 没 什 么 大 问 题 。 但 如 果 定 义 的 B D C 模 型 参 数 类 型 为 M i c r o s o f t . B u s i n e s s D a t a . R u n t i m e . D y n a m i c T y p e ， 就 会 出 现 问 题 了 。 这 种 方 案 的 好 处 在 于 允 许 开 发 人 员 灵 活 地 通 过 该 参 数 传 递 不 同 类 型 的 值 ， 但 坏 处 就 是 为 反 序 列 化 的 调 用 方 提 供 了 任 意 的 X m l S e r i a l i z e r 流 。 漏 洞 利 用 漏 洞 利 用 我 们 的 测 试 设 备 为 M i c r o s o f t   S h a r e P o i n t   S e r v e r   2 0 1 6 ， 并 且 安 装 了 K B 4 4 6 4 5 9 4 ， 操 作 系 统 版 本 为 6 4 位 的 W i n d o w s S e r v e r   2 0 1 6   u p d a t e   1 4 3 9 3 . 3 0 2 5 。 漏 洞 利 用 步 骤 及 过 程 如 下 ： 1 、 管 理 员 首 先 需 要 自 定 义 一 个 B D C 模 型 ， 其 中 包 括 一 个 参 数 类 型 为 M i c r o s o f t . B u s i n e s s D a t a . R u n t i m e . D y n a m i c T y p e 的 方 法 。 针 对 自 定 义 的 B D C 模 型 ， 程 序 会 使 用 数 据 库 模 型 样 本 来 作 为 模 板 对 其 进 行 大 规 模 简 化 ： 2 、 接 下 来 ， 管 理 员 需 要 通 过 S h a r e P o i n t 管 理 中 心 | 应 用 管 理 | 管 理 服 务 应 用 程 序 | 业 务 数 据 连 接 服 务 来 上 传 B D C 模 型 。 当 然 了 ， 这 个 操 作 也 可 以 通 过 P o w e r S h e l l 来 完 成 ： 3 、 然 后 ， 攻 击 者 就 可 以 调 用 这 个 方 法 了 ， 并 通 过 函 数 参 数 来 传 递 攻 击 P a y l o a d ：
在 S h a r e P o i n t 服 务 器 上 ， 你 将 会 发 现 生 成 了 两 个 c m d . e x e 实 例 以 及 一 个 w i n 3 2 c a l c . e x e 实 例 ， 它 们 都 会 以 S h a r e P o i n t 应 用 程 序 池 的 身 份 运 行 。 如 果 你 想 要 查 看 代 码 路 径 的 话 ， 你 可 以 把 调 试 器 绑 定 到 S h a r e P o i n t 应 用 程 序 的 w 3 w p . e x e 上 ， 并 在 s y s t e m . w e b . d l l 上 设 置 断 点 。 我 们 可 以 通 过 S y s t e m . W e b . d l l ! S y s t e m . W e b . U I . O b j e c t S t a t e F o r m a t t e r . D e s e r i a l i z e 来 查 看 调 用 堆 栈 ： 总 结 总 结 需 要 注 意 的 是 ， 即 便 是 你 能 够 成 功 利 用 该 漏 洞 并 实 施 攻 击 ， 你 也 无 法 拿 到 服 务 器 端 的 管 理 员 权 限 ， 不 过 攻 击 者 可 以 利 用 该 漏 洞 在 S h a r e P o i n t 应 用 程 序 池 以 及 S h a r e P o i n t 服 务 器 账 号 的 上 下 文 环 境 中 执 行 他 们 的 代 码 。 根 据 微 软 方 面 的 描 述 ， 他 们 已 经 在 9 月 份 推 送 的 补 丁 中 修 复 了 此 漏 洞 。 参 考 资 料 参 考 资 料 1 、 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / o p e n s p e c s / s h a r e p o i n t _ p r o t o c o l s / m s - b d c m f f s / 0 c 5 6 8 f 7 1 - 3 6 d e - 4 a 8 9 - b 4 4 f -
c a b 4 8 6 0 9 b 8 6 a 2 、 h t t p s : / / t w i t t e r . c o m / t h e z d i *   参 考 来 源 ： 参 考 来 源 ： z e r o d a y i n i t i a t i v e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理