搜索

[15519] 2020-06-21_CVE-2018-10731：工业交换机漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-06-21_CVE-2018-10731：工业交换机漏洞分析 C V E - 2 0 1 8 - 1 0 7 3 1 ： 工 业 交 换 机 漏 洞 分 析 b e y 0 n d   F r e e B u f   2 0 2 0 - 0 6 - 2 1 本 文 详 细 分 析 了 本 文 详 细 分 析 了 P h o e n i x   C o n t a c t 交 换 机 中 交 换 机 中 F L   S W I T C H   3 x x x 、 、 F L   S W I T C H   4 x x x 和 和 F L   S W I T C H   4 8 x x 系 列 设 系 列 设 备 的 备 的 C V E - 2 0 1 8 - 1 0 7 3 1 漏 洞 。 此 漏 洞 存 在 于 设 备 的 漏 洞 。 此 漏 洞 存 在 于 设 备 的   W e b 界 面 中 ， 可 以 在 不 知 道 设 备 凭 据 的 情 况 下 执 行 任 意 代 界 面 中 ， 可 以 在 不 知 道 设 备 凭 据 的 情 况 下 执 行 任 意 代 码 ， 码 ， C V S S 3 . 0 等 级 评 分 为 等 级 评 分 为 9 分 。 分 。 漏 洞 分 析 漏 洞 分 析 上 面 提 到 的 L i n u x ， 可 以 使 用 w e b 界 面 对 其 进 行 配 置 。 与 许 多 其 他 家 用 和 工 业 I o T 设 备 一 样 ， w e b 界 面 由 许 多 处 理 用 户 H T T P 请 求 的   C G I 应 用 程 序 组 成 。 在 本 文 的 案 例 中 ， C G I 应 用 程 序 使 用 c g i c   库 ， 这 使 得 处 理   H T T P 请 求 更 加 容 易 ， 并 且 该 库 的 功 能 内 置 在 设 备 文 件 系 统 中 的 共 享 库 中 。 在 处 理 H T T P 请 求 时 ， w e b   服 务 器 将 用 户 请 求 数 据 作 为 一 组 环 境 变 量 传 递 给   C G I   应 用 程 序 。 它 们 的 初 始 处 理 由 库 中 的       函 数 执 行 。 接 下 来 ，   函 数 调 用 C G I 应 用 程 序 的 函 数 ， 在 其 中 对 请 求 进 行 进 一 步 处 理 。 图 1 .         处 理 H T T P 请 求 在 其 工 作 过 程 中 ， 库 的 m a i n 函 数 调 用 函 数 ， 该 函 数 确 定 用 户 是 否 已 使 用 传 递 的 C o o k i e 值 通 过 了 系 统 身 份 验 证 。 图 2 .   m a i n 函 数 代 码 片 段 函 数 使 用   函 数 获 取 参 数 的 c o o k i e 值 ， 并 将 其 存 储 在 变 量 中 。 变 量 是 一 个 长 度 为   0 x 8 0 的 单 字 节 字 符 数 组 ， 并 且 位 于 距 堆 栈 开 头 0 x E 0 的 距 离 处 。 l i b i p i n f u s i o n w e b . s o l i b i p i n f u s i o n w e b m a i n m a i n c g i M a i n l i b i p i n f u s i o n w e b g e t _ l o g i n _ u s e r g e t _ l o g i n _ u s e r c o o k i e s _ g e t _ v a l u e c _ s e s s i o n l o c a l _ e 0 l o c a l _ e 0
图 3 .     g e t _ l o g i n _ u s e r   函 数 代 码 片 段 但 是 ， 从 函 数 的 代 码 中 可 以 看 出 ， 使 用 函 数 获 取 的 c o o k i e 参 数 值 的 最 大 长 度 为 0 x 4 0 0 字 节 。 图 4 .     c o o k i e s _ g e t _ v a l u e 函 数 代 码 片 段 因 此 ， 当 传 递 长 度 超 过 0 x E 0 （ 2 2 4 ） 个 字 符 的 c o o k i e 参 数 时 ， 函 数 会 将 此 参 数 的 值 保 存 到 其 栈 中 ， 结 果 变 量 后 面 的 栈 上 的 所 有 信 息 将 被 覆 盖 ， 包 括 函 数 返 回 地 址 。 注 意 ： 当 一 个 函 数 调 用 另 一 个 函 数 时 ， 返 回 地 址 存 储 在 栈 中 。 当 被 调 用 函 数 完 成 时 ， 控 制 权 将 转 移 到 该 返 回 地 址 。 因 此 ， 如 果 重 写 此 地 址 ， 则 可 以 控 制 程 序 执 行 流 程 。 例 如 ， 攻 击 者 可 以 使 用 位 于 程 序 地 址 空 间 中 的 恶 意 s h e l l c o d e 的 地 址 替 换 此 地 址 。 请 注 意 ， 返 回 地 址 的 覆 盖 是 在 身 份 验 证 之 前 进 行 的 ， 这 使 得 不 知 道 设 备 账 户 的 攻 击 者 也 可 能 利 用 此 漏 洞 。 利 用 利 用 c o o k i e s _ g e t _ v a l u e c g i C o o k i e S t r i n g g e t _ l o g i n _ u s e r l o c a l _ e 0
我 们 考 虑 了 几 种 方 法 来 证 明 利 用 此 漏 洞 的 可 能 性 。 最 简 单 的 方 法 是 将 有 效 负 载 代 码 写 到 堆 栈 上 （ 0 x 4 0 0 - 0 x E 0   = 剩 下 8 0 0 字 节 ， 对 于 代 码 来 说 足 够 了 ） ， 然 后 用 代 码 地 址 覆 盖 返 回 地 址 。 从 理 论 上 讲 这 是 可 行 的 ， 因 为 存 在 该 漏 洞 的 交 换 机 处 理 器 不 支 持 N X 位 功 能 （ 也 就 是 说 ， 它 允 许 执 行 位 于 包 括 堆 栈 在 内 的 任 何 位 置 的 代 码 ） ， 但 实 际 上 存 在 严 重 限 制 。 这 些 交 换 机 处 理 器 具 有 M I P S 架 构 ， 此 体 系 结 构 中 的 许 多 处 理 器 指 令 均 以 包 含 零 字 节 的 字 节 序 列 进 行 编 码 。 写 入 到 缓 冲 区 的 内 容 在 遇 到 第 一 个 空 字 节 时 结 束 （ 由 于 使 用 了 s t r c p y 函 数   ） ， 因 此 仅 能 使 用 不 包 含 空 字 节 的 操 作 码 ， 但 这 是 不 可 能 的 ， 因 为 任 何 有 效 载 荷 都 至 少 使 用 几 个 空 字 节 。 同 样 ， 在 构 建   R O P 链 时 ， 也 将 不 得 不 面 对 空 字 节 的 限 制 ： R O P   g a d g e t s 的 地 址 不 应 包 含 零 ， 这 会 使 地 址 的 搜 索 大 大 复 杂 化 。 总 的 来 说 ， 我 们 只 能 使 用 由   s t r c p y 函 数 复 制 的 一 个 零 ， 这 限 制 了 完 整 R O P 链 的 创 建 。 此 外 ， 我 们 所 需 的 g a d g e t s 也 非 常 少 。 但 是 ， 在 搜 索 l i b i p i n f u s i o n w e b 库 的 时 候 发 现 了 以 下 代 码 片 段 ： 图 5 .     l i b i p i n f u s i o n w e b 库 的 可 执 行 代 码 片 段 假 设 寄 存 器 $ s 0 的 内 容 受 到 控 制 ， 此 代 码 段 使 用 函 数 使 你 可 以 执 行 O S 命 令 （ 该 函 数 最 初 没 有 名 称 ， 但 我 们 将 其 重 命 名 ， 因 为 它 与 L i n u x 中 的 s y s t e m   函 数 非 常 相 似 ） 。 由 于 我 们 正 在 覆 盖 g e t _ l o g i n _ u s e r 函 数 的 返 回 地 址 ， 因 此 该 函 数 将 执 行 到 最 后 。 从   g e t _ l o g i n _ u s e r 函 数 的 末 尾 中 ， 可 以 看 到 寄 存 器 $ s 0 的 值 是 从 栈 上 先 前 保 存 的 值 恢 复 的 （ 从 栈 顶 部 偏 移 0 x D 8   ） 。 不 过 此 时 ， 栈 区 域 已 经 在 我 们 的 控 制 之 下 ， 也 就 是 说 ， 实 际 上 ， 我 们 可 以 实 现 对 寄 存 器 内 容 的 控 制 ， 从 而 可 以 使 用 函 数 执 行 任 意   O S 命 令 。 图 6 .     g e t _ l o g i n _ u s e r 函 数 可 执 行 代 码 片 段 因 此 ， 为 了 成 功 演 示 此 漏 洞 利 用 ， 需 要 发 送 的 参 数 字 符 串 应 包 含 以 下 内 容 ： O S 命 令 字 符 串 ， 该 命 令 随 后 将 传 递 给 m y s y s t e m 函 数 ； O S 命 令 在 栈 上 的 地 址 ； 新 的 返 回 地 址 （ 图 5 所 示 的 代 码 片 段 的 地 址 ） 最 终 的 有 效 负 载 应 如 下 所 示 ： 图 7 .   有 效 负 载 至 此 ， 我 们 已 经 利 用 漏 洞 获 取 了 设 备 上 的 s h e l l ， 该   s h e l l 需 要 管 理 员 权 限 。 因 此 ， 我 们 能 够 获 得 有 助 于 后 续 操 作 的 更 多 其 他 信 息 ： A S L R 在 此 研 究 设 备 上 被 禁 用 ， 因 此 ， 所 使 用 的 g a d g e t 和 O S 命 令 的 地 址 将 始 终 相 同 。 m y s y s t e m m y s y s t e m c _ s e s s i o n   c o o k i e
图 8 .   被 研 究 设 备 上 的 A S L R 状 态 堆 栈 可 能 位 于 的 内 存 地 址 范 围 。 为 了 计 算 确 切 的 地 址 ， 我 们 遍 历 了 该 范 围 内 的 所 有 地 址 。 作 为 有 效 负 载 ， 我 们 实 现 了 w e b   s h e l l — C G I 应 用 程 序 的 加 载 ， 其 内 容 如 下 ： 由 于 根 据   C G I 协 议 ， H T T P 标 头 的 内 容 以 名 称 为 H T T P _ 的 环 境 变 量 的 形 式 传 输 到 C G I   应 用 程 序 ， 因 此 该 s h e l l   将 使 用 e v a l   命 令 执 行 H T T P   标 头 C M D 的 内 容 。 下 图 显 示 了 使 用 已 加 载 的 s h e l l   成 功 运 行 和 执 行 l s   命 令 的 结 果 。 图 9 .     l s 命 令 成 功 运 行 和 执 行 的 结 果 结 论 结 论 本 文 展 示 了 利 用 此 漏 洞 的 能 力 ， 正 如 我 们 已 经 提 到 的 ， 其 操 作 不 需 要 知 道 密 码 ， 因 此 甚 至 可 以 由 未 经 身 份 验 证 的 攻 击 者 执 行 。 入 侵 工 业 网 络 交 换 机 可 能 会 破 坏 整 个 网 络 环 境 ， 网 络 交 互 中 断 会 对 进 程 产 生 不 利 影 响 ， 直 到 它 完 全 停 止 。 译 文 ， 原 文 请 参 考 ： h t t p s : / / h a b r . c o m / r u / c o m p a n y / p t / b l o g / 4 9 3 9 4 4 / * 本 文 作 者 ： 本 文 作 者 ： b e y 0 n d ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 # ! / b i n / s h e v a l   $ H T T P _ C M D   2 > & 1
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理