搜索

[19102] 2017-09-20_【漏洞分析】云鼎实验室：Tomcat远程代码执行漏洞分析（CVE-2017-12615）及补丁Bypass

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-09-20_【漏洞分析】云鼎实验室：Tomcat远程代码执行漏洞分析（CVE-2017-12615）及补丁Bypass 【 漏 洞 分 析 】 云 鼎 实 验 室 ： T o m c a t   远 程 代 码 执 行 漏 洞 分 析 （ C V E - 2 0 1 7 - 1 2 6 1 5 ） 及 补 丁 B y p a s s R i c t e r Z   i 春 秋   2 0 1 7 - 0 9 - 2 0 9   月   1 9   日 ， 腾 讯 云 安 全 中 心 监 测 到     A p a c h e   T o m c a t   修 复 了 2 个 严 重 级 别 的 漏 洞 ，   分 别 为 ：   信 息 泄 露 漏 洞 （ C V E - 2 0 1 7 - 1 2 6 1 6 ） 、 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 1 2 6 1 5 ） ， 在 某 些 场 景 下 ， 攻 击 者 将 分 别 能 通 过 这 两 个 漏 洞 ， 获 取 用 户 服 务 器 上   J S P   文 件 的 源 代 码 ， 或 是 通 过 精 心 构 造 的 攻 击 请 求 ， 向 用 户 服 务 器 上 传 恶 意   J S P   文 件 ， 通 过 上 传 的   J S P   文 件   ， 可 在 用 户 服 务 器 上 执 行 任 意 代 码 。 云 鼎 实 验 室 通 过 对 于 漏 洞 描 述 ， 搭 建 漏 洞 环 境 ， 并 对 其 进 行 复 现 。 此 漏 洞 为 高 危 漏 洞 ， 即 使 是 非 默 认 配 置 ， 但 是 一 旦 存 在 漏 洞 ， 那 么 攻 击 者 可 以 成 功 上 传   W e b s h e l l ， 并 控 制 服 务 器 。 复 现 复 现 根 据 描 述 ， 在   W i n d o w s   服 务 器 下 ， 将   r e a d o n l y   参 数 设 置 为   f a l s e   时 ， 即 可 通 过   P U T   方 式 创 建 一 个   J S P   文 件 ， 并 可 以 执 行 任 意 代 码 。       通 过 阅 读   c o n f / w e b . x m l   文 件 ， 可 以 发 现 ： 默 认   r e a d o n l y   为   t r u e ， 当   r e a d o n l y   设 置 为   f a l s e   时 ， 可 以 通 过   P U T   /   D E L E T E   进 行 文 件 操 控 。     配 置   r e a d o n l y   为   f a l s e ：
启 动   T o m c a t ， 利 用   P U T   请 求 创 建 文 件 ： 提 示   4 0 4 。 通 过 描 述 中 的   W i n d o w s   受 影 响 ， 可 以 结 合   W i n d o w s   的 特 性 。 其 一 是   N T F S   文 件 流 ， 其 二 是 文 件 名 的 相 关 限 制 （ 如   W i n d o w s   中 文 件 名 不 能 以 空 格 结 尾 ） 来 绕 过 限 制 ：   访 问 发 现 可 以 正 常 输 出 ：   分 析 分 析 T o m c a t   的   S e r v l e t   是 在   c o n f / w e b . x m l   配 置 的 ， 通 过 配 置 文 件 可 知 ， 当 后 缀 名 为   . j s p   和   . j s p x   的 时 候 ， 是 通 过 J s p S e r v l e t 处 理 请 求 的 ：
而 其 他 的 静 态 文 件 是 通 过 D e f a u l t S e r v l e t 处 理 的 ： 可 以 得 知 ， “ 1 . j s p   ” （ 末 尾 有 一 个 和 空 格 ） 并 不 能 匹 配 到   J s p S e r v l e t ， 而 是 会 交 由 D e f a u l t S e r v l e t 去 处 理 。 当 处 理   P U T   请 求 时 ： 会 调 用 r e s o u r c e s . b i n d ：
d i r C o n t e x t   为 F i l e D i r C o n t e x t ： 调 用   r e b i n d 创 建 文 件 ： 又 由 于   W i n d o w s   不 允 许 “   ” 作 为 文 件 名 结 尾 ， 所 以 会 创 建 一 个   . j s p   文 件 ， 导 致 代 码 执 行 。 B y p a s s   分 析 分 析 然 而 ， 经 过 黑 盒 测 试 ， 当   P U T   地 址 为 / 1 . j s p / 时 ， 仍 然 会 创 建   J S P ， 会 影 响   L i n u x   和   W i n d o w s   服 务 器 ， 并 且   B y p a s s   了 之 前 的 补 丁 ， 分 析 如 下 。   在 进 入   b i n d   函 数 时 ， 会 声 明 一 个   F i l e   变 量 ： 然 而 ， 经 过 黑 盒 测 试 ， 当   P U T   地 址 为 / 1 . j s p / 时 ， 仍 然 会 创 建   J S P ， 会 影 响   L i n u x   和   W i n d o w s   服 务 器 ， 并 且   B y p a s s   了 之 前 的 补 丁 ， 分 析 如 下 。  
在 进 入   b i n d   函 数 时 ， 会 声 明 一 个   F i l e   变 量 ： 进 入   F i l e   后 ， 会 对   n a m e   进 行   n o r m a l i z e 最 后 得 到 的   p a t h   就 是 没 有 最 后   /   的   p a t h   了 : 影 响 影 响 由 于 存 在 去 掉 最 后 的   /   的 特 性 ， 那 么 这 个 漏 洞 自 然 影 响   L i n u x   以 及   W i n d o w s   版 本 。 而 且 经 过 测 试 ， 这 个 漏 洞 影 响 全 部 的   T o m c a t   版 本 ， 从 5 . x   到   9 . x   无 不 中 枪 。 目 前 来 说 ， 最 好 的 解 决 方 式 是 将   c o n f / w e b . x m l   中 对 于   D e f a u l t S e r v l e t   的   r e a d o n l y   设 置 为   t r u e ， 才 能 防 止 漏 洞 。 云 鼎 实 验 室 ： R i c t e r Z

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理