搜索

[14786] 2019-11-07_CVE-2019-7609Kibana远程代码执行漏洞攻击方法和漏洞原理分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2019-11-07_CVE-2019-7609Kibana远程代码执行漏洞攻击方法和漏洞原理分析 C V E - 2 0 1 9 - 7 6 0 9   K i b a n a 远 程 代 码 执 行 漏 洞 攻 击 方 法 和 漏 洞 原 理 分 析 w a n g t u a   F r e e B u f   2 0 1 9 - 1 1 - 0 7 0 x 0 0   前 言 前 言 本 漏 洞 的 本 漏 洞 的 e x p 放 出 来 快 一 星 期 了 ， 目 前 网 上 的 分 析 文 章 也 出 了 几 篇 ， 但 是 大 都 集 中 于 通 过 容 器 简 单 复 现 攻 击 过 放 出 来 快 一 星 期 了 ， 目 前 网 上 的 分 析 文 章 也 出 了 几 篇 ， 但 是 大 都 集 中 于 通 过 容 器 简 单 复 现 攻 击 过 程 ， 没 有 深 入 的 分 析 产 生 原 因 和 程 ， 没 有 深 入 的 分 析 产 生 原 因 和 e x p 的 构 造 原 理 。 笔 者 借 鉴 了 大 牛 的 构 造 原 理 。 笔 者 借 鉴 了 大 牛 M i c h a ł   B e n t k o w s k i ， 也 就 是 漏 洞 发 现 者 的 博 ， 也 就 是 漏 洞 发 现 者 的 博 客 上 的 英 文 客 上 的 英 文 p p t （ 参 考 链 接 （ 参 考 链 接 3 ） ， 写 了 这 篇 文 章 。 本 文 详 细 介 绍 了 在 本 地 搭 建 了 模 拟 攻 击 环 境 的 过 程 （ 非 ） ， 写 了 这 篇 文 章 。 本 文 详 细 介 绍 了 在 本 地 搭 建 了 模 拟 攻 击 环 境 的 过 程 （ 非 d o c k e r 搭 建 ） ， 并 完 整 分 析 了 这 个 漏 洞 的 攻 击 原 理 。 现 在 分 享 给 大 家 。 搭 建 ） ， 并 完 整 分 析 了 这 个 漏 洞 的 攻 击 原 理 。 现 在 分 享 给 大 家 。 0 x 0 1   漏 洞 简 介 漏 洞 简 介 K i b a n a 存 在 远 程 代 码 执 行 漏 洞 ， 影 响 版 本 为 5 . 6 . 1 5 和 6 . 6 . 0 之 前 的 所 有 版 本 。 拥 有 K i b a n a 的 T i m e l i o n 模 块 访 问 权 限 的 人 可 以 以 K i b a n a 的 运 行 权 限 执 行 任 意 代 码 ， 包 括 反 弹 s h e l l 。 0 x 0 2   环 境 搭 建 环 境 搭 建 靶 机 环 境 ： P a r r o t   S e c u r i t y   O S   4 . 7   6 4 位   或 其 他 类 L i n u x 操 作 系 统 （ V M W a r e   1 4 ） E l a s t i c s e a r c h 6 . 5 . 4 K i b a n a   6 . 5 . 4 I P ： 1 0 . 1 0 . 1 0 . 1 2 8 攻 击 机 环 境 ： W i n d o w s   1 0   H o m e   6 4 位 N e t c a t   1 . 1 2   6 4 位 C h r o m e 浏 览 器 I P ： 1 7 2 . 1 6 . 2 . 6 2 0 x 0 3   漏 洞 利 用 漏 洞 利 用 1 ） 在 靶 机 上 部 署 K i b a n a   和 E l a s t i c s e a r c h ， 并 开 放 访 问 端 口 开 放 访 问 端 口 ( . / c o n f i g / k i b a n a . x m l 中 的 s e r v e r . h o s t 改 成 0 . 0 . 0 . 0 ) 让 攻 击 机 可 以 访 问 （ 如 图 1 所 示 ） 。 图 1   在 靶 机 上 部 署 E l a s t i c s e a r c h 和 K i b a n a
2 ） 确 认 执 行 权 限 并 启 动 E l a s t i c s e a r c h 和 K i b a n a （ 如 图 2 ， 3 所 示 ） 图 2   在 靶 机 上 确 认 K i b a n a 执 行 权 限 图 3   执 行   E l a s t i c s e a r c h 和 K i b a n a 在 攻 击 机 上 启 动 n e t c a t （ 图 4 ） ， 并 通 过 C h r o m e 浏 览 器 访 问 K i b a n a 的 T i m e l i o n 页 面 ， 并 输 入 p a y l o a d （ 图 5 ） 。 图 4   在 攻 击 机 上 启 动 n e t c a t 图 5   登 录 T i m e l i o n 并 在 输 入 框 中 输 入 p a y l o a d p a y l o a d 如 图 6 所 示 （ 为 了 避 免 各 类 纠 纷 ， 本 文 的 攻 击 代 码 只 放 图 片 版 ， 文 字 版 可 以 去 参 考 链 接 里 面 自 取 ） ( 注 意 替 换 p a y l o a d 中 的 反 弹 I P 为 攻 击 机 I P ) 点 击 右 边 的 执 行 按 钮 执 行 ， 然 后 点 击 控 制 面 板 左 边 的 C a n v a s , 可 以 获 取 反 弹 s h e l l 图 6   获 得 反 弹 s h e l l 多 次 操 作 之 后 可 能 会 出 现 反 弹 不 成 功 的 现 象 ， 此 时 可 以 删 除 k i b a n a 目 录 并 重 新 部 署 一 次 ， 记 得 修 改 记 得 修 改 k i b a n a . x m l ！ 0 x 0 4   漏 洞 机 理 漏 洞 机 理
“ 原 型 污 染 ” 是 一 种 针 对 J S 语 言 开 发 的 攻 击 方 法 。 J S 语 言 中 ， 每 一 个 对 象 都 是 有 其 原 型 （ p r o t o ） 的 ， 而 该 原 型 又 有 其 自 己 的 原 型 对 象 ， 直 到 某 个 对 象 的 原 型 为 n u l l 。 而 如 果 J S 对 其 中 定 义 的 对 象 原 型 的 属 性 读 写 缺 乏 控 制 ， 容 易 让 攻 击 者 操 纵 一 些 敏 感 特 征 ， 从 而 实 现 攻 击 者 的 目 的 。 本 漏 洞 就 是 是 一 个 由 于 J S 语 言 的 “ 原 型 污 染 ” ， 导 致 靶 机 环 境 量 被 污 染 ， 最 终 获 得 s h e l l 执 行 的 漏 洞 。 具 体 调 试 过 程 如 下 1 、 、 P O C 验 证 验 证 1 ）   在 T i m e l i o n 的 输 入 框 中 输 入 本 漏 洞 的 P O C ： 2 ）   点 击 c a n v a s ， 可 以 发 现 c o o k i e 被 污 染 ， 页 面 无 法 访 问 。 3 ) 通 过 n o d e 调 试 工 具 ( 具 体 使 用 方 法 见 参 考 链 接 ) 连 接 后 台 ， 删 除 O b j e c t . p r o t o t y p e 的 c o o k i e 值 ， 刷 新 发 现 页 面 暂 时 恢 复 正 常 。 因 此 可 以 判 定 该 处 存 在 J S 原 型 污 染 漏 洞 2 、 漏 洞 产 生 原 理 和 攻 击 思 路 、 漏 洞 产 生 原 理 和 攻 击 思 路 1 ） 点 击 c a n v a s 页 面 ， 可 以 发 现 后 台 大 量 报 错 ， 报 错 原 因 是 9 2 2 9 端 口 被 占 用 。 因 此 可 以 判 断 ： 在 点 击 c a n v a s 页 面 的 过 程 中 ， k i b a n a 创 建 了 新 的 n o d e 进 程 。 （ 注 意 此 时 要 连 接 注 意 此 时 要 连 接 c h r o m e 的 的 n o d e 调 试 工 具 才 会 看 到 报 错 调 试 工 具 才 会 看 到 报 错 ） 因 此 可 以 考 虑 通 过 劫 持 环 境 变 量 来 实 现 s h e l l 命 令 注 入 。 2 )   在 创 建 新 的 n o d e 进 程 过 程 中 ， 必 然 使 用 了 N O D E _ O P T I O N S 环 境 变 量 ， 如 果 我 们 可 以 劫 持 该 变 量 ， 那 么 就 能 影 响 n o d e 的 新 进 程 创 建 。 N O D E _ O P T I O N S 不 限 制 — r e q u i r e 选 项 ， 该 选 项 可 以 在 执 行 j s 文 件 之 前 首 先 加 载 其 他 j s 模 块 。 而
在 本 案 例 中 ， 实 现 上 传 恶 意 模 块 的 思 路 难 以 实 现 。 因 此 考 虑 进 一 步 污 染 环 境 变 量 的 方 法 来 间 接 达 到 这 一 目 的 。 3 、 、 p a y l o a d 构 建 构 建 在 构 建 p a y l o a d 之 前 ， 我 们 通 过 调 试 工 具 查 看 O b j e c t . p r o t o y t p e . e n v 变 量 。 T i m e l i o n 中 ， p r o p s 方 法 的 官 方 解 释 是 ： 简 单 来 说 , p r o p s 可 以 修 改 任 意 对 象 的 属 性 值 。 因 此 可 以 采 用 p r o p s 方 法 来 对 J S 中 o b j e c t 对 象 的 原 型 进 行 修 改 ， 同 时 也 就 修 改 了 靶 机 的 环 境 变 量 。 据 此 ， 我 们 构 建 出 了 如 下 的 代 码 ： 其 中 , l a b e l . p r o t o . e n v 是 靶 机 的 环 境 变 量 ， 我 们 在 该 变 量 中 添 加 了 一 个 键 值 对 最 后 两 个 斜 杠 用 于 把 后 面 的 内 容 注 释 掉 。 因 此 我 们 目 前 的 p a y l o a d 是 点 击 执 行 之 后 ， 继 续 在 调 试 工 具 中 查 看 O b j e c t . p r o t o y t p e . e n v 变 量 的 污 染 情 况 : 可 以 看 到 e n v 已 经 被 污 染 下 一 步 就 是 污 染 N O D E S _ O P T I O N S 变 量 ， 让 n o d e 命 令 在 运 行 时 执 行 我 们 上 面 构 建 的 反 弹 s h e l l 的 命 令 。 首 先 考 虑 使 用 e v a l 函 数 ， 而 n o d e 的 开 发 者 显 然 意 识 到 了 这 是 个 很 危 险 的 设 计 ， 因 此 在 N O D E _ O P T I O N S 变 量 中 禁 用 了 e v a l 函 数 ， 然 而 却 没 有 禁 用 — r e q u i r e 这 个 选 项 。 因 此 我 们 构 建 这 一 部 分 的 代 码 ： 最 终 ， 我 们 构 建 的 p a y l o a d 成 了 如 下 结 构 ：
点 击 执 行 之 后 再 次 查 看 e n v 的 污 染 情 况 总 体 来 看 ， 我 们 首 先 把 环 境 变 量 修 改 成 了 一 条 j s 语 句 ， 然 后 又 在 n o d e 执 行 过 程 中 劫 持 了 执 行 参 数 N O D E _ O P T I O N S ， 这 样 构 成 了 完 整 的 攻 击 链 。 当 然 还 有 最 后 一 步 点 击 最 后 一 步 点 击 c a n v a s 页 面 页 面 ， 让 n o d e 建 立 新 进 程 的 过 程 执 行 起 来 。 从 而 达 到 反 弹 s h e l l 的 目 的 。 0 x 0 5   危 害 分 析 和 处 理 建 议 危 害 分 析 和 处 理 建 议 危 害 分 析 ： C N V D 评 级 ： 高 ( A * V : N / A C : L / A u : N / C : C / I : C / A : C ) C N N V D 评 级 ： 超 危 虽 然 该 漏 洞 是 一 个 远 程 命 令 执 行 漏 洞 ， 但 是 本 人 认 为 该 漏 洞 影 响 不 大 。 因 为 本 漏 洞 是 执 行 在 K i b a n a 的 宿 主 机 上 ， 而 K i b a n a 是 一 个 E l a s t i c s e a r c h 的 可 视 化 工 具 ， 该 工 具 很 少 有 人 会 把 其 页 面 暴 露 于 公 网 。 能 够 造 成 威 胁 的 只 有 一 种 情 况 ， 就 是 页 面 被 暴 露 于 公 网 ， 而 且 使 用 了 弱 用 户 名 和 弱 口 令 。 故 本 人 认 为 该 漏 洞 威 胁 不 大 。 处 理 建 议 ： 1 ） 及 时 升 级 K i b a n a 和 E l a s t i c s e a r c h 到 最 新 版 本 ， 同 时 尽 量 用 低 权 限 执 行 K i b a n a 和 E l a s t i c s e a r c h 。 2 ） 尽 量 不 要 让 K i b a n a 的 T i m e l i o n 页 面 暴 露 于 公 网 ， 并 检 查 是 否 存 在 使 用 弱 口 令 登 录 的 情 况 。 0 x 0 6   参 考 资 料 参 考 资 料 1 )   h t t p s : / / n o d e j s . o r g / e n / d o c s / i n s p e c t o r 2 )   h t t p s : / / g i t h u b . c o m / m p g n / C V E - 2 0 1 9 - 7 6 0 9 3 )   h t t p s : / / s l i d e s . c o m / s e c u r i t y m b / p r o t o t y p e - p o l l u t i o n - i n - k i b a n a / # / 4 )   C N V D   国 家 信 息 安 全 安 全 漏 洞 共 享 平 台 h t t p s : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 9 - 1 2 1 6 3 5 )   C N N V D   国 家 信 息 安 全 漏 洞 库 h t t p : / / w w w . c n n v d . o r g . c n / w e b / x x k / l d x q B y I d . t a g ? C N N V D = C N N V D - 2 0 1 9 0 2 - 1 0 3 5 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： w a n g t u a ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理