搜索

[16023] 2020-10-28_安全研究uTorrent协议层远程漏洞的分析和利用

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2020-10-28_安全研究uTorrent协议层远程漏洞的分析和利用 安 全 研 究   |   u T o r r e n t 协 议 层 远 程 漏 洞 的 分 析 和 利 用 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 2 8 写 在 前 面 的 话 写 在 前 面 的 话 近 期 ， 世 界 上 最 流 行 的 t o r r e n t 客 户 端 u T o r r e n t 被 爆 出 了 一 个 安 全 漏 洞 ， 该 漏 洞 的 C V E 编 号 为 C V E - 2 0 2 0 - 8 4 3 7 。 根 据 研 究 人 员 透 露 的 信 息 ， 远 程 攻 击 者 可 以 利 用 该 漏 洞 来 入 侵 任 何 一 个 连 接 至 互 联 网 的 u T o r r e n t 实 例 ， 并 让 其 运 行 崩 溃 。 作 为 合 格 的 白 帽 黑 客 ， 我 们 在 发 现 了 该 漏 洞 之 后 便 立 刻 将 其 上 报 给 了 u T o r r e n t 团 队 ， 该 漏 洞 也 在 短 时 间 内 迅 速 得 到 修 复 。 现 在 在 这 篇 文 章 中 ， 我 们 将 公 开 该 漏 洞 的 概 况 以 及 相 应 的 利 用 方 式 。 T o r r e n t 协 议 协 议 T o r r e n t 下 载 （ 传 说 中 的 B T 下 载 ） 可 以 同 时 与 多 个 对 等 节 点 建 立 连 接 （ 其 他 人 下 载 同 一 文 件 ） ， 并 创 建 一 个 分 散 的 下 载 网 络 来 使 整 个 对 等 节 点 组 共 同 受 益 。 每 个 对 等 节 点 都 可 以 上 传 和 下 载 数 据 到 任 何 其 他 的 对 等 节 点 ， 这 种 方 式 可 以 消 除 任 何 单 一 故 障 点 或 宽 带 瓶 颈 ， 从 而 使 所 有 对 等 节 点 的 下 载 速 度 更 快 更 稳 定 。 对 等 节 点 之 间 使 用 了 B i t T o r r e n t 协 议 进 行 通 信 ， 而 这 种 协 议 通 信 方 式 需 要 通 过 握 手 来 发 起 。 在 接 下 来 的 分 析 过 程 中 ， 我 们 将 主 要 关 注 握 手 包 以 及 随 后 的 数 据 包 。 B i t T o r r e n t 握 手 握 手 握 手 包 是 对 等 节 点 之 间 初 始 化 通 信 所 要 发 送 的 第 一 个 数 据 包 ， 握 手 包 中 包 含 了 五 个 字 段 ， 每 个 字 段 都 有 严 格 的 结 构 化 格 式 。 握 手 包 格 式 ： N a m e   L e n g t h ： 1 字 节 无 符 号 整 型 ， 后 跟 字 符 串 长 度 。 P r o t o c a l N a m e ： 可 变 长 度 的 字 符 串 ， 用 于 标 记 发 起 初 始 化 的 对 等 节 点 支 持 的 协 议 。 此 字 段 将 用 于 兼 容 性 问 题 ， 不 过 在 目 前 主 要 的 协 议 实 现 中 该 字 段 都 被 设 置 为 了 “ B i t T o r r e n t   p r o t o c o l ” 。
R e s e r v e d   B y t e s ： 8 字 节 比 特 字 段 ， 每 一 位 代 表 了 一 个 协 议 功 能 扩 展 ， 现 代 T o r r e n t 客 户 端 将 使 用 这 个 字 段 来 跟 高 级 功 能 进 行 通 信 以 优 化 下 载 任 务 。 I n f o   H a s h ： 2 0 字 节 S H A 1 ， 用 于 识 别 初 始 化 对 等 节 点 想 要 下 载 的 种 子 文 件 ， 这 个 哈 希 是 目 标 种 子 文 件 全 部 信 息 的 哈 希 ， 其 中 包 括 种 子 名 称 、 文 件 域 哈 希 、 文 件 大 小 、 数 量 等 等 。 P e e r   I D ： 2 0 字 节 缓 冲 区 ， 一 个 发 起 方 跟 自 己 指 定 的 随 机 标 识 。 当 一 个 节 点 收 到 一 个 握 手 包 之 后 ， 它 将 会 用 自 己 的 握 手 包 来 回 应 。 如 果 两 个 节 点 的 R e s e r v e d   B y t e s 字 段 都 设 置 为 了 “ E x t e n s i o n   P r o t o c o l ” ， 那 么 节 点 之 间 将 使 用 一 个 “ 扩 展 ” 消 息 握 手 来 交 换 更 多 关 于 扩 展 组 建 的 信 息 。 B i t T o r r e n t 扩 展 消 息 握 手 扩 展 消 息 握 手 扩 展 消 息 握 手 是 对 等 节 点 之 间 用 于 共 享 额 外 扩 展 实 现 信 息 时 使 用 的 ， 跟 我 们 之 前 分 析 的 B i t T o r r e n t 握 手 包 不 同 的 是 ， B i t T o r r e n t 握 手 包 的 大 小 是 固 定 的 ， 但 扩 展 消 息 握 手 包 是 可 以 动 态 变 化 的 ， 这 将 允 许 该 数 据 包 传 输 大 量 扩 展 数 据 。 扩 展 消 息 握 手 包 格 式 ： L e n g t h ： 4 字 节 无 符 号 整 型 ， 后 跟 整 个 信 息 的 长 度 。 B i t T o r r e n t   M e s s a g e   T y p e ： 1 个 字 节 ， 即 数 据 包 的 B i t T o r r e n t 消 息 I D ， 扩 展 消 息 对 应 的 是 2 0 （ 0 x 1 4 ） 。 B i t T o r r e n t   E x t e n d e d   M e s s a g e   T y p e ： 1 个 字 节 ， 代 表 扩 展 消 息 的 I D ， 对 应 的 值 为 0 。 M ： 动 态 变 化 的 数 据 包 大 小 ， 支 持 的 补 充 扩 展 B e n c o d e d 格 式 字 典 。
B e n c o d e d 字 典 字 典 M 字 段 是 一 个 B e n c o d e d 格 式 的 字 典 ， 这 种 格 式 跟 P y t h o n 字 典 格 式 类 似 ： 即 字 符 串 类 型 的 键 值 对 。 但 是 ， 跟 P y t h o n 字 典 相 比 ， B e n c o d e d 字 典 在 值 前 面 会 包 含 每 一 个 字 符 串 的 长 度 ， “ d ” 和 “ e ” 分 别 用 来 代 表 “ { ” 和 “ } ” 。 下 面 给 出 的 是 P y t h o n 字 典 和 B e n c o d e d 字 典 的 对 比 图 ： 除 此 之 外 ， P y t h o n 字 典 和 B e n c o d e d 字 典 都 可 以 在 字 典 内 部 包 含 一 个 单 独 的 字 典 ， 即 支 持 字 典 嵌 套 ： 漏 洞 漏 洞 C V E - 2 0 2 0 - 8 4 3 7 漏 洞 C V E - 2 0 2 0 - 8 4 3 7 存 在 于 u T o r r e n t 解 析 B e n c o d e d 字 典 的 代 码 之 中 ， 说 准 确 一 点 ， 就 是 解 析 嵌 套 字 典 的 代 码 。 在 补 丁 发 布 之 前 （ u T o r r e n t   3 . 5 . 5 及 其 之 前 版 本 ） ， u T o r r e n t 将 使 用 一 个 3 2 位 整 数 作 为 一 个 比 特 字 段 来 跟 踪 B e n c o d e d 字 典 当 前 正 在 解 析 的 部 分 。 比 如 说 ， 当 u T o r r e n t 在 解 析 第 一 层 时 ， 这 个 比 特 字 段 将 会 被 设 置 为 ‘ 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 ’ ， 当 u T o r r e n t 在 解 析 第 二 层 时 ， 这 个 比 特 字 段 将 会 被 设 置 为 ‘ 0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 1 1 ’ 。 但 是 ， 如 果 一 个 B e n c o d e d 字 典 的 嵌 套 层 数 超 过 3 2 层 的 话 ， 会 发 生 什 么 呢 ？ 于 是 乎 ， 我 便 创 建 了 一 个 这 样 的 字 典 ， 然 后 丢 给 了 u T o r r e n t 的 字 典 解 析 器 ， 结 果 如 下 ： 这 就 很 N i c e ！ u T o r r e n t 崩 溃 啦 ！ 深 入 分 析 后 ， 我 们 发 现 这 是 一 个 空 指 针 引 用 错 误 。
漏 洞 利 用 漏 洞 利 用 漏 洞 C V E - 2 0 2 0 - 8 4 3 7 有 两 个 简 单 的 利 用 向 量 ， 首 先 是 要 一 个 远 程 对 等 节 点 发 送 一 个 包 含 恶 意 B e n c o d e d 字 典 的 扩 展 消 息 数 据 包 ， 其 次 就 是 需 要 一 个 包 含 了 恶 意 B e n c o d e d 字 典 的 . t o r r e n t 种 子 文 件 。 远 程 对 等 节 点 利 用 远 程 对 等 节 点 利 用 当 两 个 支 持 扩 展 消 息 的 对 等 节 点 开 始 交 互 通 信 时 ， 它 们 都 会 发 送 一 个 数 据 包 来 枚 举 各 自 支 持 的 扩 展 功 能 ， 而 关 于 支 持 扩 展 的 消 息 就 是 通 过 B e n c o d e d 字 典 来 发 送 的 ， 如 果 字 典 是 恶 意 字 典 ， 那 么 客 户 端 在 解 析 B e n c o d e d 字 典 时 就 会 触 发 漏 洞 C V E - 2 0 2 0 - 8 4 3 7 。 T o r r e n t 文 件 利 用 文 件 利 用 . t o r r e n t 种 子 文 件 封 装 了 客 户 端 开 始 下 载 t o r r e n t 所 需 的 最 基 本 信 息 ， 这 些 文 件 在 t o r r e n t 网 站 上 公 开 共 享 ， 任 何 人 都 可 以 直 接 下 载 ， 然 后 使 用 t o r r e n t 客 户 端 来 打 开 ， 因 此 这 些 文 件 都 有 可 能 成 为 触 发 漏 洞 C V E - 2 0 2 0 - 8 4 3 7 的 工 具 。 一 个 . t o r r e n t 文 件 相 当 于 是 一 个 以 文 件 格 式 保 存 的 B e n c o d e d 字 典 ， 因 此 我 们 只 需 要 将 一 个 恶 意 B e n c o d e d 字 典 保 存 为 一 个 . t o r r e n t 文 件 ， 就 可 以 实 现 攻 击 向 量 的 创 建 了 。 漏 洞 利 用 演 示 视 频 漏 洞 利 用 演 示 视 频 视 频 地 址 ： h t t p s : / / y o u t u . b e / w I X Z v z _ Y 4 A g 缓 解 方 案 缓 解 方 案 根 据 该 漏 洞 的 严 重 性 情 况 ， 建 议 广 大 用 户 尽 快 将 u T o r r e n t 客 户 端 程 序 升 级 至 最 新 版 本 ！ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理