搜索

[16411] 2021-02-07_Jumpserver-RCE复现及报警规则

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2021-02-07_Jumpserver-RCE复现及报警规则 J u m p s e r v e r - R C E 复 现 及 报 警 规 则 L i t t l e T 1 g e r   F r e e B u f   2 0 2 1 - 0 2 - 0 7 影 响 版 本 影 响 版 本 漏 洞 分 析 漏 洞 分 析 简 便 的 方 法 是 ， 根 据 影 响 版 本 可 以 得 到 的 信 息 是 ， v 2 . 6 . 2 是 安 全 的 ， 所 以 只 需 要 在 g i t h u b 上 对 比 v 2 . 6 . 2 和 v 2 . 6 . 1 的 版 本 更 迭 记 录 即 可 。 C o m p a r e   v 2 . 6 . 1   a n d   v 2 . 6 . 2 A n a l i z i e d   6   c h a n g e d   f i l e s   w i t h   1 1   a d d i t i o n s a n d   1 2   d e l e t i o n s . u t h . p y & & w s . p y 这 两 个 文 件 ， 前 者 删 了 一 个 方 法 ， 后 者 加 了 一 些 权 限 校 验 。 接 下 来 逐 一 分 析 。 a u t h . p y 的 代 码 分 析 的 代 码 分 析 根 据 j u m p s e r v e r 官 方 给 的 应 急 解 决 方 案 中 ， 定 位 到 了 要 封 禁 的 接 口 :
在 a p i _ u r l s . p y 文 件 中 的 u r l 路 由 规 则 如 下 : U s e r C o n n e c t i o n T o k e n A p i 类 对 应 的 是 a u t h . p y ， 所 以 通 过 这 种 方 式 也 可 以 找 到 漏 洞 发 生 的 地 方 该 类 有 三 个 方 法 : 一 个 P O S T 方 法 ， 和 一 个 G E T 方 法 ， 和 一 个 g e t _ p e r m i s s i o n s 方 法 ， 各 自 对 应 的 源 码 如 下 ： P O S T :
G E T : g e t _ p e r m i s s i o n s : 首 先 对 接 口 进 行 功 能 分 析 ， P O S T 方 法 实 现 的 是 : p o s t 提 交 u s e r 、 a s s e s t 、 s y s t e m _ u s e r ， 该 方 法 会 设 置 生 成 一 个 t o k e n ， 并 将 该 数 组 的 对 应 关 系 缓 存 ， 然 后 返 回 t o k e n 。 g e t 方 法 实 现 的 是 ， 请 求 提 交 t o k e n ， 该 方 法 用 t o k e n 去 查 u s e r ， 如 果 存 在 就 把 t o k e n 对 应 的 u s e r 返 回 。
功 能 上 看 起 来 实 现 的 是 ， 用 户 通 过 j u m p s e r v e r 使 用 不 同 机 器 时 ， 服 务 器 按 照 用 户 提 交 参 数 签 发 一 个 2 0 s 的 t o k e n ， 用 户 使 用 该 t o k e n 去 访 问 对 应 的 机 器 。 但 我 们 使 用 j u m p s e r v e r 会 发 现 ， 客 户 端 使 用 机 器 时 ， 向 服 务 端 提 交 的 参 数 都 是 i d ， 且 I D 随 机 复 杂 无 规 律 ， 通 过 爆 破 的 方 式 显 然 是 不 合 理 的 ， 而 本 次 未 授 权 漏 洞 正 是 因 为 l o g 中 记 录 了 这 些 敏 感 信 息 ， 并 且 可 以 被 攻 击 者 未 授 权 访 问 到 ， 所 以 产 生 了 一 个 漏 洞 利 用 链 。 w s . p y 文 件 分 析 文 件 分 析 C o m p a r e   c o n n e c t ( ) 如 图 为 v 1 . 5 . 9 的 c o n n e c t 函 数 。 如 图 为 v 2 . 6 . 2 的 c o n n e c t 函 数 w s 文 件 里 对 c o n n e c t 函 数 加 了 校 验 ， 判 断 只 有 认 证 过 的 o r g _ a d m i n 才 能 访 问 该 函 数 ， 证 明 这 里 是 个 未 授 权 的 入 口 。 继 续 分 析 函 数 ， 我 们 通 过 该 未 授 权 接 口 传 入 的 t a s k 参 数 会 传 入 到 r e a d _ l o g _ f i l e 中 。
w a i t _ u t i l _ l o g _ p a t h _ e x i s t 作 用 :   读 取 传 入 的 l o g p a t h 。 并 返 回 r e a d _ l o g _ f i l e
通 过 以 上 流 程 分 析 的 很 清 楚 了 ， 我 们 只 需 向 服 务 器 发 起 w e b s o c k e t 请 求 ， 并 提 交 j s o n 格 式 的 t a s k i d : l o g p a t h 即 可 获 取 到 日 志 中 的 敏 感 信 息 。 找 到 该 w e b s o c k e t 的 访 问 路 径 漏 洞 利 用 过 程 漏 洞 利 用 过 程 使 用 c h r o m e 插 件   W e b s o c k e t   C l i e n t 发 包 如 下 :
找 到 包 含 重 要 字 段 的 日 志 : [ 1 8 / J a n / 2 0 2 1 : 1 2 : 5 8 : 2 3   + 0 8 0 0 ]   ” G E T   / a p i / v 1 / p e r m s / a s s e t - p e r m i s s i o n s / u s e r / v a l i d a t e / ? a c t i o n _ n a m e = c o n n e c t & a s s e t _ i d = 1 2 0 3 7 4 1 9 - 5 7 0 f - 4 7 3 2 - b 1 3 5 - a 8 2 8 7 f 1 9 f 4 6 3 & c a c h e _ p o l i c y = 1 & s y s t e m _ u s e r _ i d = d 9 0 f e 5 0 2 - 3 2 6 3 - 4 e d 9 - 9 5 4 0 - 9 d 5 a 6 0 a 3 9 d 4 2 & u s e r _ i d = a d f c a f 6 1 - 8 5 b d - 4 1 0 2 - b 5 a 4 - 6 f 3 3 9 d 7 f 1 d b 4 首 先 根 据 I D 构 造 p o s t 包 获 取 t o k e n 令 牌 : 编 写 p y t h o n 模 拟 正 常 请 求 即 可 , 用 g i t h u b 上 大 佬 s k a 的 脚 本 [ 参 考 链 接 在 后 面 ] :
大 佬 用 协 程 写 了 个 交 互 式 s h e l l ( 膜 ) . m o d s e c u r i t y 判 定 规 则 判 定 规 则 在 这 种 场 景 下 ， 基 本 上 看 到 这 个 u r i 请 求 我 们 就 可 以 断 言 这 是 一 个 报 警 ， 因 此 编 写 规 则 如 下 : S e c R u l e   R E Q U E S T _ U R I   “ / w s / o p s / t a s k s / l o g ” “ i d : 1 1 1 1 1 1 1 1 , p h a s e : 1 , i d : 5 2 , t : n o n e , t : u r l D e c o d e , t : l o w e r c a s e , t : n o r m a l i z e P a t h , m s g : ’ j u m p - r c e ’ ” 可 以 通 过 部 署 的 规 则 起 到 一 定 的 报 警 作 用 ， 也 可 以 捕 获 一 些 告 警 流 量 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理