搜索

[28138] 2020-02-06_深入研究CitrixADC远程执行代码，CVE-2019-19781

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-19
2020-02-06_深入研究CitrixADC远程执行代码，CVE-2019-19781 深 入 研 究 C i t r i x   A D C 远 程 执 行 代 码 ， C V E - 2 0 1 9 - 1 9 7 8 1 O t s 安 全   2 0 2 0 - 0 2 - 0 6 上 个 月 ， C V E - 2 0 1 9 - 1 9 7 8 1 下 发 布 了 C i t r i x   A D C 和 C i t r i x   G a t e w a y 中 的 一 个 严 重 漏 洞 。 该 漏 洞 引 起 了 我 们 的 注 意 ， 因 为 它 表 明 未 经 身 份 验 证 的 对 手 可 以 利 用 它 来 破 坏 设 备 。 尽 管 最 初 的 发 现 是 由 P o s i t i v e   T e c h n o l o g i e s 和 P a d d y   P o w e r   B e t f a i r 共 同 做 出 的 ， 但 尚 无 有 关 如 何 利 用 此 方 法 的 公 开 信 息 ， 因 此 值 得 进 一 步 研 究 。 漏 洞 分 析 漏 洞 分 析 尽 管 没 有 有 关 如 何 利 用 此 问 题 的 公 开 详 细 信 息 ， 但 C i t r i x   的 缓 解 建 议 显 示 了 这 种 漏 洞 类 型 的 潜 在 线 索 。 从 此 信 息 中 ， 我 们 可 以 看 到 漏 洞 可 能 存 在 的 路 径 （ /   v p n s   / ） ， 这 可 能 是 目 录 遍 历 漏 洞 。 考 虑 到 这 一 点 ， 我 们 开 始 在 h t t p d . c o n f 文 件 中 查 找 /   v p n s 路 径 的 定 义 ， 并 发 现 /   v p n   /   p o r t a l   /   s c r i p t s   / 由 N e t S c a l e r   : :   P o r t a l   : :   H a n d l e r   P e r l 模 块 （ H a n d l e r . p m ） 。 该 目 录 中 包 含 几 个 脚 本 ， 但 是 由 于 此 漏 洞 是 潜 在 的 目 录 遍 历 ， 因 此 我 们 选 择 调 查 文 件 写 入 操 作 的 任 何 潜 在 代 码 路 径 。 这 导 致 在 U s e r s P r e f s   p e r l 模 块 中 发 现 以 下 代 码 ： s u b   c s d   {                 m y   $ s e l f   =   s h i f t ;                 m y   $ s k i p _ r e a d   =   s h i f t   | |   " " ;     #   S a n t i t y   C h e c k         m y   $ c g i   =   n e w   C G I ; p r i n t   " C o n t e n t - t y p e :   t e x t / h t m l n n " ; / /   U s e r n a m e   v a r i a b l e   i n i t i a l i z e d   b y   t h e   N S C _ U S E R   H T T P   H e a d e r
        m y   $ u s e r n a m e   =   E n c o d e : : d e c o d e ( ' u t f 8 ' ,   $ E N V { ' H T T P _ N S C _ U S E R ' } )   | |   e r r o r p a g e ( " M i s s i n g   N S C _ U S E R   h e a d e r . ” ) ;   < -   M A R K T H I S         $ s e l f - > { u s e r n a m e }   =   $ u s e r n a m e ; . . .         $ s e l f - > { s e s s i o n }   =   % s e s s i o n ; / /   C o n s t r u c t i n g   t h e   p a t h   f r o m   t h e   u s e r n a m e .                 $ s e l f - > { f i l e n a m e }   =   N e t S c a l e r : : P o r t a l : : C o n f i g : : c - > { b o o k m a r k _ d i r }   .   E n c o d e : : e n c o d e ( ' u t f 8 ' ,   $ u s e r n a m e )   .   ' . x m l ’ ;                 i f ( $ s k i p _ r e a d   e q   1 )   {                                 r e t u r n ;                 } 简 而 言 之 ， 这 段 代 码 实 质 上 是 从 N S C _ U S E R   H T T P 标 头 构 建 路 径 的 ， 而 无 需 进 行 任 何 处 理 。 因 此 ， 任 何 调 用 c s d 函 数 的 脚 本 都 将 能 够 触 发 目 录 漏 洞 。 几 乎 所 有 脚 本 都 使 用 此 功 能 ， 但 是 对 我 们 而 言 最 有 趣 的 一 个 脚 本 是 n e w b m . p l 脚 本 文 件 ： m y   $ c g i   =   n e w   C G I ; p r i n t   " C o n t e n t - t y p e :   t e x t / h t m l n n " ; m y   $ u s e r   =   N e t S c a l e r : : P o r t a l : : U s e r P r e f s - > n e w ( ) ; m y   $ d o c   =   $ u s e r - > c s d ( ) ; . . . m y   $ n e w u r l   =   E n c o d e : : d e c o d e ( ' u t f 8 ' ,   $ c g i - > p a r a m ( ' u r l ' ) ) ; m y   $ n e w t i t l e   =   E n c o d e : : d e c o d e ( ' u t f 8 ' ,   $ c g i - > p a r a m ( ' t i t l e ' ) ) ; m y   $ n e w d e s c   =   E n c o d e : : d e c o d e ( ' u t f 8 ' ,   $ c g i - > p a r a m ( ' d e s c ' ) ) ; m y   $ U I _ i n u s e   =   E n c o d e : : d e c o d e ( ' u t f 8 ' ,   $ c g i - > p a r a m ( ' U I _ i n u s e ' ) ) ; . . . m y   $ n e w B M   =   {       u r l   = >   $ n e w u r l ,         t i t l e   = >   $ n e w t i t l e ,         d e s c r   = >   $ n e w d e s c ,         U I _ i n u s e   = >   $ U I _ i n u s e , } ; . . . 该 脚 本 创 建 几 个 参 数 与 信 息 数 组 ， 然 后 以 后 ， 调 用 F I L E W R I T E 功 能 将 写 的 内 容 到 磁 盘 上 的 X M L 文 件 。 i f   ( $ n e w B M - > { u r l }   = ~   / ^ / ) {       p u s h   @ { $ d o c - > { f i l e s y s t e m s } - > { f i l e s y s t e m } } ,   $ n e w B M ;   }   e l s e   {   #   b o o k m a r k       p u s h   @ { $ d o c - > { b o o k m a r k s } - > { b o o k m a r k } } ,   $ n e w B M ;   } / /   W r i t i n g   X M L   f i l e   t o   d i s k   $ u s e r - > f i l e w r i t e ( $ d o c ) ; 本 质 上 ， 我 们 有 部 分 文 件 写 入 原 语 ， 在 这 里 我 们 控 制 路 径 而 不 是 文 件 扩 展 名 ， 并 控 制 x m l 文 件 中 的 某 些 内 容 。 仅 凭
此 漏 洞 ， 我 们 几 乎 无 能 为 力 ， 但 是 在 看 了 C r a i g   Y o n g 的 文 章 后 ， 它 强 调 了 使 用 P e r l 模 板 工 具 包 进 行 开 发 的 潜 在 途 径 。 通 过 进 一 步 的 研 究 ， 我 们 发 现 可 以 在 X M L 文 件 上 插 入 特 定 的 指 令 ， 如 果 通 过 模 板 引 擎 解 析 该 指 令 可 以 执 行 命 令 。 模 板 解 析 的 示 例 可 以 在 下 面 找 到 ： 再 次 探 讨 漏 洞 利 用 ， 我 们 现 在 有 了 部 分 文 件 写 入 原 语 ， 可 用 于 注 入 P e r l   T e m p l a t e   T o o l k i t 指 令 ， 但 仍 需 要 一 种 方 法 来 强 制 脚 本 解 析 模 板 。 在 实 际 使 用 模 板 的 代 码 上 找 到 所 有 引 用 ， H a n d l e r . p m 模 块 看 起 来 很 有 希 望 ： 该 t m p l f i l e   $ 变 量 是 从 H T T P 请 求 路 径 构 建 一 个 新 的 模 板 是 建 立 与 该 文 件 进 行 处 理 。 将 我 们 先 前 创 建 的 t e s t . x m l 文 件 复 制 到 模 板 目 录 ， 即 可 触 发 模 板 解 析 。
概 括 地 说 ， 为 了 利 用 此 漏 洞 ， 应 遵 循 以 下 步 骤 ： 1 .   探 索 通 过 模 板 执 行 P e r l 代 码 的 方 法 （ 需 要 绕 过 ） ， 2 .   使 用 路 径 遍 历 将 精 心 制 作 的 X M L 文 件 写 入 模 板 目 录 ， 3 .   浏 览 到 上 载 的 X M L 文 件 ， 触 发 模 板 解 析 。 最 后 一 个 难 题 是 使 用 模 板 执 行 任 意 命 令 ， 在 默 认 配 置 下 ， 这 是 “ 不 可 能 ” 的 。 有 一 个 未 记 录 的 功 能 ， 它 允 许 执 行 任 意 的 p e r l 代 码 ， 但 是 目 前 ， 我 们 不 打 算 记 录 此 技 术 。 但 是 ， 使 用 此 信 息 安 全 团 队 应 具 有 足 够 的 详 细 信 息 来 重 现 此 问 题 ， 但 没 有 用 于 执 行 代 码 的 详 细 信 息 。 由 于 受 影 响 的 设 备 数 量 众 多 ， M D S e c 决 定 不 提 供 针 对 此 漏 洞 的 现 成 攻 击 ， 但 是 我 们 知 道 现 在 有 多 个 参 与 者 在 利 用 该 漏 洞 作 为 武 器 ， 并 认 为 分 享 这 项 研 究 很 重 要 ， 以 便 其 他 人 可 以 采 取 适 当 的 措 施 。 2 0 2 0 年 年 1 月 月 1 4 日 更 新 日 更 新 模 板 注 入 到 远 程 命 令 执 行 模 板 注 入 到 远 程 命 令 执 行 由 于 该 漏 洞 利 用 程 序 现 已 公 开 ， 因 此 我 们 决 定 发 布 有 关 如 何 通 过 滥 用 模 板 注 入 来 实 现 命 令 执 行 的 详 细 信 息 。 有 两 种 方 法 可 以 实 现 命 令 执 行 ， 下 面 我 将 以 第 一 种 方 法 为 例 ， 第 一 种 方 法 可 供 公 共 漏 洞 利 用 程 序 使 用 。 模 板 模 板 B L O C K 任 意 任 意 P e r l 代 码 执 行 代 码 执 行 发 布 博 客 文 章 后 ， 我 们 意 识 到 P e r l   T e m p l a t e   T o o l k i t 上 的 以 下 G i t H u b 问 题 ： 此 问 题 描 述 了 一 种 有 关 如 何 执 行 任 意 P e r l 代 码 的 方 法 ， 并 且 似 乎 所 有 公 共 漏 洞 利 用 此 示 例 都 可 以 实 现 命 令 执 行 。 由 于 这 是 我 们 用 于 执 行 命 令 的 初 始 方 法 ， 因 此 我 们 希 望 对 漏 洞 本 身 有 更 多 的 了 解 。 根 据 模 板 工 具 包 文 档 ， 模 板 变 量 是 一 个 特 殊 变 量 ， 包 含 对 正 在 处 理 的 主 模 板 的 引 用 。 该 对 象 类 型 是 T e m p l a t e   : :   D o c u m e n t ， 可 以 通 过 尝 试 打 印 它 来 看 到 ：
通 过 引 用 对 象 ， 我 们 可 以 调 用 具 有 受 控 参 数 的 方 法 。 在 研 究 此 类 的 源 代 码 后 ， 我 们 可 以 看 到 新 方 法 是 公 共 的 ， 可 以 调 用 ： #   n e w ( % d o c u m e n t ) # #   C r e a t e s   a   n e w   s e l f - c o n t a i n e d   T e m p l a t e : : D o c u m e n t   o b j e c t   w h i c h #   e n c a p s u l a t e s   a   c o m p i l e d   P e r l   s u b - r o u t i n e ,   $ b l o c k ,   a n y   a d d i t i o n a l #   B L O C K s   d e f i n e d   w i t h i n   t h e   d o c u m e n t   ( $ d e f b l o c k s ,   a l s o   P e r l   s u b - r o u t i n e s ) #   a n d   a d d i t i o n a l   $ m e t a d a t a   a b o u t   t h e   d o c u m e n t . # - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - s u b   n e w   {         m y   ( $ c l a s s ,   $ d o c )   =   @ _ ;         m y   ( $ b l o c k ,   $ d e f b l o c k s ,   $ v a r i a b l e s ,   $ m e t a d a t a )   =   @ $ d o c {   q w (   B L O C K   D E F B L O C K S   V A R I A B L E S   M E T A D A T A   )   } ;         $ d e f b l o c k s   | | =   {   } ;         $ m e t a d a t a     | | =   {   } ;         #   e v a l u a t e   P e r l   c o d e   i n   $ b l o c k   t o   c r e a t e   s u b - r o u t i n e   r e f e r e n c e   i f   n e c e s s a r y         u n l e s s   ( r e f   $ b l o c k )   {                 l o c a l   $ S I G { _ _ W A R N _ _ }   =   & c a t c h _ w a r n i n g s ;                 $ C O M P E R R   =   ' ' ;                 #   D O N ' T   L O O K   N O W !   -   b l i n d l y   u n t a i n t i n g   c a n   m a k e   y o u   g o   b l i n d !                 $ b l o c k   =   e a c h   % {   {   $ b l o c k   = >   u n d e f   }   }   i f   $ { ^ T A I N T } ;         # u n t a i n t                 $ b l o c k   =   e v a l   $ b l o c k ;                 r e t u r n   $ c l a s s - > e r r o r ( $ @ )                         u n l e s s   d e f i n e d   $ b l o c k ;         } 此 方 法 将 采 用 B L O C K 参 数 并 对 其 调 用 e v a l ， 从 而 导 致 任 意 p e r l 代 码 执 行 。 此 外 ， 还 有 一 个 称 为 c o m p o n e n t 的 特 殊 变 量 ， 可 用 于 执 行 相 同 的 攻 击 。
D A T A F I L E 插 件 上 的 命 令 注 入 插 件 上 的 命 令 注 入 用 第 一 种 方 法 实 现 命 令 执 行 后 ， 在 确 定 其 他 方 法 以 实 现 命 令 执 行 方 面 进 行 了 进 一 步 的 研 究 ， 寻 找 任 何 危 险 函 数 调 用 的 源 代 码 ， 在 D a t a f i l e 插 件 上 发 现 以 下 代 码 。 s u b   n e w   {         m y   ( $ c l a s s ,   $ c o n t e x t ,   $ f i l e n a m e ,   $ p a r a m s )   =   @ _ ;         m y   ( $ d e l i m ,   $ l i n e ,   @ f i e l d s ,   @ d a t a ,   @ r e s u l t s ) ;         m y   $ s e l f   =   [   ] ;         l o c a l   * F D ;         l o c a l   $ /   =   " n " ;         $ p a r a m s   | | =   {   } ;         $ d e l i m   =   $ p a r a m s - > { ' d e l i m ' }   | |   ' : ' ;         $ d e l i m   =   q u o t e m e t a ( $ d e l i m ) ;         r e t u r n   $ c l a s s - > f a i l ( " N o   f i l e n a m e   s p e c i f i e d " )                 u n l e s s   $ f i l e n a m e ;         o p e n ( F D ,   $ f i l e n a m e )                 | |   r e t u r n   $ c l a s s - > f a i l ( " $ f i l e n a m e :   $ ! " ) ;         #   f i r s t   l i n e   o f   f i l e   s h o u l d   c o n t a i n   f i e l d   d e f i n i t i o n s         w h i l e   ( !   $ l i n e   | |   $ l i n e   = ~   / ^ # / )   {                 $ l i n e   =   < F D > ;                 c h o m p   $ l i n e ;                 $ l i n e   = ~   s / r $ / / ;         } 如 果 您 曾 经 审 核 过 p e r l 代 码 ， 则 知 道 仅 使 用 两 个 参 数 的 o p e n 函 数 是 危 险 的 。 当 在 管 道 前 面 加 上 | 时 ， o p e n 函 数 会 将 其 其 余 部 分 解 释 为 命 令 调 用 ， 并 且 由 于 我 们 可 以 控 制 文 件 名 ， 因 此 可 以 使 用 它 来 执 行 命 令 。 创 建 调 用 D A T A F I L E 插 件 的 特 制 模 板 会 导 致 任 意 命 令 执 行 ：
如 下 所 示 ， 该 文 件 夹 已 成 功 创 建 ： 几 个 人 发 现 了 此 漏 洞 ， C r a i g   Y o n g 的 原 始 帖 子 提 到 “ 需 要 特 别 注 意 的 是 ， 某 些 有 效 负 载 会 导 致 N e t S c a l e r 过 多 记 录 错 误 ， 直 到 填 满 /   v a r 分 区 为 止 。 ”   在 T w i t t e r 交 谈 之 后 ， 我 们 还 注 意 到 B i s h o p F o x 的 @ n o p e r a t o r 也 使 用 此 技 术 来 实 现 命 令 执 行 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理