搜索

[15252] 2020-04-14_利用XML和ZIP格式解析漏洞实现RCE

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-04-14_利用XML和ZIP格式解析漏洞实现RCE 利 用 X M L 和 Z I P 格 式 解 析 漏 洞 实 现 R C E c l o u d s   F r e e B u f   2 0 2 0 - 0 4 - 1 4 在 该 篇 在 该 篇 W r i t e u p 中 ， 作 者 通 过 利 用 中 ， 作 者 通 过 利 用 X X E 和 和 Z I P 文 件 目 录 遍 历 漏 洞 ， 在 目 标 文 件 目 录 遍 历 漏 洞 ， 在 目 标 W e b 应 用 系 统 中 成 功 创 建 了 应 用 系 统 中 成 功 创 建 了 W e b s h e l l ， 实 现 远 程 代 码 执 行 （ ， 实 现 远 程 代 码 执 行 （ R C E ） 。 ） 。 目 标 目 标 W e b 应 用 情 况 应 用 情 况 在 参 与 某 个 众 测 项 目 过 程 中 我 遇 到 了 一 个 W e b 应 用 ， 它 可 以 执 行 某 种 通 用 文 件 类 型 的 处 理 ， 这 里 我 们 暂 且 把 该 种 文 件 类 型 称 为 . x y z 吧 ， 通 过 G o o g l e 查 找 ， 我 发 现 这 种 . x y z 文 件 类 型 其 实 就 是 包 含 了 X M L 和 其 它 多 媒 体 内 容 的 Z I P 打 包 文 件 ， 其 中 的 X M L 文 件 相 当 于 一 个 清 单 ， 用 于 描 述 包 内 内 容 。 这 就 是 我 们 通 常 用 的 打 包 模 式 ， 比 如 ， 如 果 你 用 u n z i p 命 令 去 把 一 个 . d o c x 文 件 解 包 ， 运 行 u n z i p   D o c u m e n t . d o c x 命 令 之 后 ， 我 们 可 以 看 到 以 下 内 容 ： 另 一 种 常 见 的 打 包 解 包 方 式 就 是 . a p k 文 件 ， 它 其 实 就 是 一 个 包 含 了 一 个 A n d r o i d M a n i f e s t . x m l 和 其 它 内 容 的 Z I P 包 文 件 。 然 而 ， 如 果 开 发 人 员 在 应 用 部 署 过 程 中 经 验 不 足 ， 那 么 ， 上 述 提 到 的 打 包 机 制 就 会 产 生 安 全 问 题 。 本 质 上 来 说 ， 这 些 “ 问 题 ” 或 “ 漏 洞 ” 实 际 上 是 X M L 和 Z I P 构 建 格 式 特 性 导 致 的 ， 关 键 在 于 X M L 和 Z I P 解 析 器 如 果 去 处 理 操 作 不 同 格 式 的 特 性 。 但 不 幸 的 是 ， 出 现 漏 洞 的 情 况 时 有 发 生 ， 尤 其 是 开 发 人 员 在 使 用 默 认 配 置 的 场 景 下 。 在 此 ， 我 们 先 来 了 解 一 下 X M L 和 Z I P 格 式 可 以 导 致 漏 洞 的 “ 特 性 ” 。 X M L   E x t e r n a l   E n t i t i e s   X M L 外 部 实 体 注 入 漏 洞 外 部 实 体 注 入 漏 洞 X M L 文 件 支 持 外 部 实 体 （ e x t e r n a l   e n t i t y ） ， 外 部 实 体 的 作 用 是 可 以 让 X M L 文 件 从 本 地 或 远 程 的 其 它 源 地 址 加 载 提 取 文 件 ， 某 些 情 形 下 ， 因 为 能 方 便 地 从 不 同 源 地 址 导 入 数 据 ， 所 以 这 种 功 能 非 常 有 用 。 但 是 ， 如 果 其 中 的 X M L 解 析 器 配 置 不 当 ， 可 以 让 用 户 自 行 声 明 定 义 外 部 实 体 输 入 ， 那 么 ， 严 重 攻 击 者 就 能 从 当 前 服 务 端 的 本 地 或 内 部 获 取 敏 感 数 据 ， 或 执 行 恶 意 操 作 。 我 们 称 它 为 X X E 外 部 实 体 注 入 攻 击 ， 其 实 说 白 了 还 是 默 认 配 置 的 问 题 。 O W A S P 是 这 样 定 义 X X E 攻 击 的 ： X M L 外 部 实 体 攻 击 是 一 种 针 对 解 析 X M L 格 式 应 用 程 序 的 攻 击 类 型 之 一 ， 此 类 攻 击 发 生 在 当 配 置 不 当 的 X M L 解 析 器 处 理 指 向 外 部 实 体 的 文 档 时 ， 可 能 会 导 致 敏 感 文 件 泄 露 、 拒 绝 服 务 攻 击 、 服 务 器 端 请 求 伪 造 、 端 口 扫 描 （ 解 析 器 所 在 域 ） 和 其 他 系 统 影 响 。 采 用 了 X M L 库 的 J A V A 应 用 通 常 存 在 默 认 的 X M L 解 析 配 置 ， 因 此 容 易 受 到 X X E 攻 击 。 为 了 安 全 的 使 用 此 类 解 析 器 ， 可 以 在 一 些 解 析 机 制 中 禁 用 X X E 功 能 。 Z I P 目 录 遍 历 漏 洞 目 录 遍 历 漏 洞 由 于 Z I P 格 式 的 问 题 导 致 Z I P 目 录 遍 历 漏 洞 在 早 期 就 被 利 用 ， 但 2 0 1 8 年 S n y k 披 露 的 Z i p   S l i p 漏 洞 尤 为 引 人 关 注 ， Z i p   S l i p 漏 洞 可 能 会 造 成 任 意 文 件 被 覆 写 ， 很 多 流 行 的 Z I P 解 析 库 和 J A V A 项 目 都 受 到 该 漏 洞 影 响 。 攻 击 者 可 以 利 用 该 漏 洞 构 造 一 个 特 制 的 Z I P 压 缩 文 件 ， 在 其 中 包 含 进 可 对 目 录 进 行 遍 历 的 文 件 名 ， 如 . . / . . / . . / . . / e v i l 1 / e v i l 2 / e v i l . s h ， 当 存 在 漏 洞 的 Z I P 库 对 该 特 制 Z I P 包 进 行 u n z i p 解 包 时 ， 不 仅 会 把 e v i l . s h 解 压 到 一 个 临 时 目 录 ， 还 可 以 把 它 解 压 到 一 个 由 攻 击 者 指 定 的 位 置 （ 如 这 里 的 / e v i l 1 / e v i l 2 ） ， 可 导 致 恶 意 文 件 被 写 入 磁 盘 ， 或 是 敏 感 文 件 被 覆 写 。 如 果 定 时 任 务 脚 本 c r o n   j o b 被 覆 写 或 r o o t 目 录 被 植 入 w e b s h e l l ， 最 终 结 果 就 可 形 成 远 程 代 码 执 行 。 和 X X E 注 入 漏 洞 类 似 ， Z I P 目 录 遍 历 漏 洞 在 J A V A 应 用 中 也 普 遍 存 在 。 Z i p   S l i p 漏 洞 影 响 多 种 开 发 生 态 系 统 ， 包 括 J a v a S c r i p t 、 R u b y 、 . N E T   和   G o ， 以 及 一 些 缺 乏 处 理 高 级 压 缩 包 中 心 库 （ 如 z i p ） 的 J A V A 项 目 中 ， 此 类 压 缩 包 处 理 库 的 缺 失 ， 导 致 一 些 漏 洞 代 码 片 段 在 S t a c k O v e r f l o w 等 开 发 社 区 中 共 享 流 传 。 发 现 发 现 X X E 注 入 漏 洞 注 入 漏 洞 现 在 ， 有 了 以 上 的 了 解 认 识 之 后 ， 我 们 回 到 实 际 的 漏 洞 测 试 中 来 。 目 标 W e b 应 用 接 收 通 用 类 型 文 件 的 上 传 、 解 压 、 X M L 清 单 文 件 解 析 ， 之 后 会 返 回 一 个 包 含 X M L 清 单 信 息 的 确 认 页 面 。 比 如 ， 如 果 Z I P 文 件 m y p a c k a g e . x y z 包 含 以 下 m a n i f e s t . x m l 清 单 文 件 ： 上 传 m y p a c k a g e . x y z 至 目 标 W e b 应 用 之 后 ， 我 会 得 到 以 下 确 认 页 面 ： 这 里 ， 我 首 先 测 试 的 是 X S S 漏 洞 。 有 一 点 要 注 意 的 是 ， 因 为 标 签 会 被 解 析 为 X M L 节 点 ， 所 以 X M L 形 式 的 X S S 注 入 不 支 持 ， 必 须 要 在 X M L 文 件 中 对 其 进 行 转 义 ， 如 “ < h t m l t a g s > ” ， 但 不 幸 的 是 ， 目 标 W e b 应 用 对 这 种 转 义 的 输 出 做 了 过 滤 。 A r c h i v e :     D o c u m e n t . d o c x             i n f l a t i n g :   [ C o n t e n t _ T y p e s ] . x m l                       i n f l a t i n g :   _ r e l s / . r e l s                                       i n f l a t i n g :   w o r d / _ r e l s / d o c u m e n t . x m l . r e l s                 i n f l a t i n g :   w o r d / < ? x m l   v e r s i o n = " 1 . 0 " ? >         < p a c k a g e i n f o >                 < t i t l e > M y   A w e s o m e   P a c k a g e < / t i t l e >                 < a u t h o r > J o h n   D o e < / a u t h o r >                 < d o c u m e n t a t i o n > h t t p s : / / g o o g l e . c o m < / d o c u m e n t a t i o n >                
那 我 们 就 来 试 试 X X E 注 入 漏 洞 吧 ， 以 下 我 在 X M L 文 件 中 引 入 了 一 个 远 程 外 部 实 体 ： 在 我 的 B u r p   C o l l a b o r a t o r 实 例 中 并 没 有 返 回 任 何 回 显 ， 刚 开 始 我 想 着 是 不 是 X X E 漏 洞 被 拦 截 阻 断 了 。 但 其 实 不 然 。 X X E   P a y l o a d 相 关 的 非 系 统 外 部 实 体 、 本 地 文 件 、 远 程 文 件 我 们 都 需 要 一 一 尝 试 才 能 证 明 X X E 漏 洞 是 否 存 在 。 毕 竟 ， 如 果 目 标 W e b 应 用 部 署 了 防 火 墙 ， 其 标 准 的 防 火 墙 规 则 会 阻 止 传 出 的 网 络 连 接 ， 导 致 远 程 外 部 实 体 解 析 失 败 ， 但 我 们 可 以 尝 试 看 看 外 部 实 体 是 否 可 以 成 功 解 析 读 取 本 地 文 件 。 幸 运 的 是 ， 我 用 外 部 实 体 构 造 了 读 取 本 地 文 件 的 以 下 X M L ， 其 中 的 / e t c / h o s t s 命 令 竟 然 在 确 认 页 面 中 成 功 回 显 了 ： 测 试 测 试 R C E 在 通 常 的 白 帽 测 试 中 我 们 就 可 能 到 此 为 止 了 ， 利 用 上 述 的 X X E 漏 洞 可 以 获 取 目 标 W e b 系 统 内 的 本 地 数 据 文 件 和 其 它 包 括 管 理 密 码 在 内 的 敏 感 配 置 信 息 了 ， 足 够 写 好 一 份 漏 洞 报 告 了 。 但 是 ， 接 下 来 我 还 想 测 试 另 外 一 个 漏 洞 ： Z I P 解 析 漏 洞 。 现 在 我 们 有 了 这 些 条 件 ： 目 标 W e b 应 用 会 解 压 Z I P 包 、 解 析 读 取 其 中 的 m a n i f e s t . x m l 清 单 文 件 、 然 后 返 回 一 个 确 认 页 面 ， 另 外 还 存 在 一 个 X X E 漏 洞 ， 那 会 不 会 还 有 其 它 未 知 漏 洞 呢 ？ 先 来 测 试 Z I P 目 录 遍 历 漏 洞 吧 ， 这 里 我 用 到 了 目 录 遍 历 P a y l o a d 生 成 工 具 - e v i l a r c ， 它 是 一 个 简 单 的 P y t h o n 脚 本 。 我 要 确 定 的 是 把 目 录 遍 历 P a y l o a d 放 到 本 地 文 件 系 统 中 的 具 体 位 置 ， 好 在 X X E 漏 洞 在 此 可 以 帮 上 忙 了 ， 外 部 实 体 对 本 地 文 件 的 读 取 不 仅 限 于 文 件 ， 还 可 以 读 取 目 录 。 所 以 我 构 造 了 如 f i l e : / / / n a m e o f d i r e c t o r y 的 外 部 实 体 ， 用 它 来 读 取 其 中 的 目 录 列 表 内 容 。 对 目 录 列 表 研 究 一 番 ， 我 发 现 了 目 标 W e b 应 用 系 统 中 的 文 件 / h o m e / w e b / r e s o u r c e s / t e m p l a t e s / s i t e m a p . j s p ， 它 与 目 标 W e b 应 用 h t t p s : / / v u l n a p p . c o m / s i t e m a p 非 常 相 似 。 于 是 ， 我 把 w e b s h e l l 内 容 放 入 其 中 把 它 进 行 打 包 ， 为 了 防 止 其 被 普 通 用 户 发 现 ， 我 对 它 设 置 了 访 问 限 制 参 数 。 w e b s h e l l 内 容 如 下 ： 把 这 个 包 含 了 W e b s h e l l 的 包 上 传 至 目 标 W e b 应 用 之 后 ， 我 尝 试 用 h t t p s : / / v u l n a p p . c o m / s i t e m a p ? s p a c e r a c c o o o n = l s 方 式 去 访 问 W e b s h e l l ， 没 任 何 东 西 回 显 … … ， 页 面 和 h t t p s : / / v u l n a p p . c o m / s i t e m a p 一 样 。 但 就 像 俗 话 说 的 ： 对 同 一 件 事 情 举 一 反 三 且 满 怀 期 待 ， 就 是 疯 狂 。 延 迟 、 缓 存 和 其 它 网 络 特 性 可 以 对 同 样 的 输 入 造 成 不 同 输 出 ， 这 里 的 情 况 是 ， 由 于 目 标 W e b 服 务 端 缓 存 了 页 面 h t t p s : / / v u l n a p p . c o m / s i t e m a p 之 前 的 内 容 ， 所 以 刚 开 始 无 法 访 问 到 我 的 内 置 w e b s h e l l ， 经 过 几 次 刷 新 ， 终 于 可 以 访 问 到 w e b s h e l l 了 ， 其 中 的 命 令 l s 被 成 功 执 行 ， 返 回 了 W e b 根 目 录 和 其 它 站 点 页 面 信 息 。 R C E 成 功 了 ！ 惯 例 优 先 原 则 惯 例 优 先 原 则 ( C o n v e n t i o n   o v e r   C o n f i g u r a t i o n ) 对 于 很 多 项 目 来 说 ， 遵 从 已 有 惯 例 或 使 用 合 理 的 默 认 选 项 大 概 是 最 合 理 简 便 的 做 法 。 这 篇 W r i t e u p 中 的 目 标 W e b 应 用 为 J A V A 架 构 ， 综 合 O W A S P   和   S n y k 的 漏 洞 披 露 可 知 J A V A 在 X M L 和 Z I P 格 式 处 理 存 在 缺 陷 ， 加 上 一 些 默 认 的 解 析 机 制 和 第 三 方 库 ， 漏 洞 就 如 此 形 成 了 。 除 J A V A 架 构 外 ， 几 乎 大 多 编 程 语 言 和 框 架 都 存 在 X M L 和 Z I P 格 式 处 理 问 题 ， 开 发 人 员 在 配 置 此 类 框 架 和 应 用 时 需 格 式 注 意 ， 一 个 小 的 配 置 错 误 就 能 导 致 致 命 漏 洞 。 * 参 考 来 源 ： 参 考 来 源 ： s p a c e r a c c o o n ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 < ? x m l   v e r s i o n = " 1 . 0 " ? >         < ! D O C T Y P E   t i t l e   [ < ! E N T I T Y   x x e   S Y S T E M   ' h t t p s : / / m y c o l l a b . b u r p c o l l a b o r a t o r . n e t ' > ] >         < p a c k a g e i n f o >                 < t i t l e > M y   A w e s o m e   P a c k a g e & x x e ; < / t i t l e >                 < ? x m l   v e r s i o n = " 1 . 0 " ? >         < ! D O C T Y P E   t i t l e   [ < ! E N T I T Y   x x e   S Y S T E M   ' f i l e : / / / e t c / h o s t s ' > ] >         < p a c k a g e i n f o >                 < t i t l e > M y   A w e s o m e   P a c k a g e & x x e ; < / t i t l e >                 < a u t h o r > J o h n   D o e < / a u t h o r < % @   p a g e   i m p o r t = " j a v a . u t i l . * , j a v a . i o . * " % >         < %                 i f   ( r e q u e s t . g e t P a r a m e t e r ( " s p a c e r a c c o o n " )   ! =   n u l l )   {                         o u t . p r i n t l n ( " C o m m a n d :   "   +   r e q u e s t . g e t P a r a m e t e r ( " s p a c e r a c c o o n "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理