搜索

[28330] 2020-06-04_ApacheHTTP组件提权漏洞利用深度分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-04_ApacheHTTP组件提权漏洞利用深度分析 A p a c h e   H T T P 组 件 提 权 漏 洞 利 用 深 度 分 析 阿 尔 法 实 验 室   O t s 安 全   2 0 2 0 - 0 6 - 0 4 前 段 时 间 A p a c h e   H T T P   被 发 现 存 在 本 地 提 权 漏 洞 （ C V E - 2 0 1 9 - 0 2 1 1 ） ， 漏 洞 作 者 在 第 一 时 间 就 给 出 了 W r i t e U p 和 漏 洞 E X P ， 阿 尔 法 实 验 室 也 对 E X P 进 行 了 深 入 分 析 ， 在 此 将 分 析 的 笔 记 整 理 分 享 出 来 ， 希 望 对 大 家 理 解 该 漏 洞 有 所 帮 助 。 本 文 内 容 主 要 按 着 E X P 的 执 行 步 骤 一 步 步 讲 解 ， 同 时 详 细 解 释 了 利 用 过 程 中 几 个 比 较 难 理 解 的 点 ： P H P   U A F 漏 洞 的 具 体 利 用 细 节 a l l _ b u c k e t s [ b u c k e t ] 是 如 何 指 向 S H M 中 伪 造 的 结 构 以 及 堆 喷 的 问 题 如 何 让 a p r _ p r o c _ m u t e x _ t 和 z e n d _ a r r a y 、 p r e f o r k _ c h i l d _ b u c k e t 和 z e n d _ o b j e c t 这 些 结 构 体 叠 加 的 一 、 漏 洞 成 因 一 、 漏 洞 成 因 作 者 的 W r i t e U p 中 对 导 致 漏 洞 代 码 已 经 有 了 介 绍 ， 这 里 就 只 是 简 单 提 一 下 ， 并 省 略 了 大 部 分 的 源 码 以 减 轻 阅 读 负 担 。 在 A p a c h e 的 M P M   p r e f o r k 模 式 中 ， 以 r o o t 权 限 运 行 主 服 务 器 进 程 ， 同 时 管 理 一 个 低 特 权 工 作 进 程 （ w o r k e r ） 池 ， 用 于 处 理 H T T P 请 求 。 主 进 程 和 w o r k e r 之 间 通 过 一 个 共 享 内 存 （ S H M ） 进 行 通 信 。 1 . 当 A p a c h e   h t t p d 服 务 器 优 雅 重 启 （ g r a c e f u l ） 时 ， h t t p d 主 进 程 会 杀 死 旧 w o r k e r 并 用 新 w o r k e r 替 换 它 们 ， 这 就 会 调 用 p r e f o r k _ r u n ( ) 函 数 产 生 新 的 w o r k e r ： 2 . 在 该 函 数 中 调 用 m a k e _ c h i l d ( ) ， 并 使 用 a p _ g e t _ s c o r e b o a r d _ p r o c e s s ( c h i l d _ s l o t ) - > b u c k e t 作 为 参 数 。 m a k e _ c h i l d ( ) 函 数 会 创 建 新 的 子 进 程 ， 同 时 根 据 b u c k e t 索 引 读 取 a l l _ b u c k e t s 数 组 到 m y _ b u c k e t ： 3 . 调 用 c h i l d _ m a i n ( ) ， 如 果 A p a c h e 侦 听 多 个 端 口 ， 那 么 S A F E _ A C C E P T ( < c o d e > ) 宏 中 的 < c o d e > 将 会 执 行 ， 这 里 a p r _ p r o c _ m u t e x _ c h i l d _ i n i t ( ) 将 会 执 行 ：
4 . 上 述 函 数 进 一 步 调 用 ( * m u t e x ) - > m e t h - > c h i l d _ i n i t ( m u t e x ,   p o o l ,   f n a m e ) : 整 个 简 化 的 流 程 如 下 ： 如 果 我 们 在 共 享 内 存 中 伪 造 一 个 p r e f o r k _ c h i l d _ b u c k e t 结 构 （ 即 a l l _ b u c k e t s 数 组 的 元 素 ） ， 并 修 改 a l l _ b u c k e t s 数 组 的 索 引 b u c k e t ， 就 可 以 在 第 三 行 处 的 代 码 控 制 m y _ b u c k e t 指 向 该 结 构 。 进 而 在 后 续 代 码 执 行 m y _ b u c k e t - > m u t e x - > m e t h - > c h i l d _ i n i t ( m u t e x ,   p o o l ,   f n a m e ) ， m e t h 结 构 包 含 指 向 多 个 函 数 的 指 针 ， 因 此 ， 将 其 中 的 c h i l d _ i n i t 函 数 的 指 针 覆 盖 为 我 们 想 要 执 行 函 数 的 指 针 ， 就 可 以 达 到 漏 洞 利 用 的 目 的 ， 并 且 此 时 进 程 还 是 处 于 r o o t 权 限 的 ， 后 面 才 降 低 自 身 的 权 限 。 二 、 漏 洞 利 用 二 、 漏 洞 利 用 作 者 在 其 W r i t e U p 将 利 用 过 程 分 为 四 个 步 骤 ， 但 实 际 的 e x p 要 比 他 写 得 更 繁 琐 一 点 ， 在 顺 序 上 也 稍 微 有 些 不 同 。 以 下 是 根 据 e x p 执 行 步 骤 整 理 的 流 程 ， 补 充 了 一 些 细 节 ： 1 .   利 用 P H P 读 取 w o r k e r 的 / p r o c / s e l f / m a p s 文 件 ， 进 而 定 位 一 些 漏 洞 利 用 所 需 模 块 和 函 数 的 地 址 2 .   枚 举 / p r o c / * / c m d l i n e 和 / p r o c / * / s t a t u s 文 件 ， 得 到 所 有 w o r k e r 进 程 的 P I D 3 .   利 用 一 个 P H P 的 U A F 漏 洞 ， 在 w o r k e r 进 程 中 获 取 读 / 写 S H M 的 权 限 4 .   遍 历 A p a c h e 的 内 存 ， 根 据 内 存 模 式 匹 配 找 到 与 a l l _ b u c k e t s 数 组 地 址 5 .   因 为 优 雅 重 启 后 ， a l l _ b u c k e t s 的 位 置 会 改 变 ， 因 此 需 要 计 算 一 个 ” 适 当 ” 的 b u c k e t 索 引 ， 保 证 a l l _ b u c k e t s [ b u c k e t ] 仍 然 指 向 伪 造 的 p r e f o r k _ c h i l d _ b u c k e t 结 构 6 .   在 S H M 中 构 造 p a y l o a d 7 .   喷 射 p a y l o a d 之 后 剩 余 的 S H M 区 域 ， 确 保 第 5 步 中 a l l _ b u c k e t s [ b u c k e t ] 指 向 这 片 区 域 后 ， 能 转 跳 到 p a y l o a d 8 .   将 p r o c e s s _ s c o r e - > b u c k e t 修 改 为 第 5 步 中 计 算 的 b u c k e t 。 此 外 为 了 进 一 步 提 高 成 功 率 ， 还 可 以 枚 举 S H M 区 域 所 有 的 p r o c e s s _ s c o r e 结 构 ， 将 每 个 w o r k e r 的 p r o c e s s _ s c o r e - > p i d 与 第 2 步 得 到 的 P I D 的 相 比 较 ， 匹 配 上 的 就 是 正 确 的 p r o c e s s _ s c o r e 结 构 ， 将 每 个 w o r k e r 的 p r o c e s s _ s c o r e - > b u c k e t 都 进 行 修 改 。 9 .   等 待 A p a c h e 优 雅 重 启 触 发 漏 洞 （ 每 天 早 上 6 : 2 5 会 自 动 执 行 ， 也 可 手 动 重 启 验 证 结 果 ） 具 体 的 细 节 如 下 图 ：
2 . 1   e x p 概 述 概 述 g e t _ a l l _ a d d r e s s e s ( ) 、 g e t _ w o r k e r s _ p i d s ( ) 函 数 分 别 取 得 几 个 关 键 内 存 地 址 、 w o r k e r 的 P I D 放 入 全 局 变 量 $ a d d r e s s e s 和 $ w o r k e r _ p i d s 中 ， 以 便 在 随 后 的 利 用 中 使 用 。 需 要 注 意 如 果 执 行 e x p 时 无 法 解 析 s h m 和 a p a c h e 的 地 址 ， 可 能 是 因 为 你 的 环 境 中 s h m 的 大 小 与 e x p 中 查 找 的 范 围 不 一 致 ， 可 以 自 己 查 看 一 下 m a p s 文 件 ， 然 后 修 改 i f   ( $ m s i z e   > =   0 x 1 0 0 0 0   & &   $ m s i z e   < =   0 x 1 6 0 0 0 ) 这 一 行 为 正 确 的 值 即 可 。 r e a l ( ) 函 数 有 两 个 作 用 ， 一 是 触 发 P H P 的 U A F 漏 洞 。 二 是 开 始 真 正 的 漏 洞 利 用 过 程 ， 因 为 Z 中 定 义 了 j s o n S e r i a l i z e ( ) 方 法 ， 它 会 在 类 实 例 被 序 列 化 的 时 候 调 用 ， 即 后 面 执 行 j s o n _ e n c o d e ( ) 时 调 用 ， 而 所 有 的 利 用 代 码 都 在 j s o n S e r i a l i z e ( ) 中 。 下 面 的 代 码 只 保 留 了 E X P 的 基 本 框 架 ， 只 为 了 让 大 家 有 一 个 整 体 上 的 概 念 ： 接 下 来 具 体 看 看 j s o n S e r i a l i z e ( ) 中 的 代 码 。 2 . 2   利 用 P H P 的 U A F 获 取 读 写 S H M 的 权 限 还 是 先 概 括 的 讲 一 讲 P H P 这 个 U A F 漏 洞 原 理 ： 1 .   我 们 在 Z 中 定 义 了 一 个 字 符 串 $ t h i s - > a b c （ P H P 内 部 使 用 z e n d _ s t r i n g 表 示 ） ， 就 好 比 C 中 m a l l o c 一 块 内 存
2 .   接 着 u n s e t ( $ y [ 0 ] ) （ Z 的 实 例 ） ， 就 像 ” f r e e ” 掉 刚 才 分 配 的 内 存 3 .   然 后 再 请 求 分 配 一 个 和 刚 才 释 放 大 小 相 同 的 内 存 块 ， 这 里 使 用 的 是 D a t e I n t e r v a l （ P H P 的 对 象 内 部 实 现 往 往 由 几 个 结 构 体 组 成 ， 这 里 其 实 是 D a t e I n t e r v a l 中 的 t i m e l i b _ r e l _ t i m e 和 z e n d _ s t r i n g 大 小 相 同 ） ， 于 是 D a t e I n t e r v a l 就 占 据 了 原 来 字 符 串 的 位 置 ， 如 下 图 所 示 ： 4 .   此 时 $ t h i s - > a b c 仍 然 可 用 并 指 向 原 来 的 位 置 ， 于 是 我 们 可 以 通 过 修 改 D a t e I n t e r v a l 来 控 制 字 符 串 $ t h i s - > a b c 。 P H P 字 符 串 的 内 部 实 现 如 下 ， 用 一 个 z e n d _ s t r i n g 表 示 ， 通 过 成 员 变 量 l e n 来 判 断 字 符 串 长 度 ， 从 而 实 现 二 进 制 安 全 。 我 们 修 改 D a t e I n t e r v a l 的 属 性 间 接 修 改 l e n 的 大 小 就 可 以 通 过 t h i s - > a b c 读 写 S H M 区 域 了 。 当 然 ， 为 了 能 够 成 功 利 用 漏 洞 ， 还 有 许 多 细 节 需 要 考 虑 。 2 . 2 . 1   填 充 空 闲 内 存 块 在 脚 本 运 行 之 前 可 能 发 生 了 大 量 的 分 配 / 释 放 ， 因 此 同 时 实 例 化 的 两 个 变 量 也 不 一 定 是 连 续 的 ， 为 解 决 这 个 问 题 ， 实 例 化 几 个 D a t e I n t e r v a l 对 象 填 充 不 连 续 空 闲 块 ， 以 确 保 后 面 分 配 的 内 存 是 连 续 的 ： 2 . 2 . 2   创 建 保 护 内 存 块 为 了 保 证 U A F 后 我 们 控 制 的 结 构 属 于 一 块 空 闲 内 存 ， 如 果 我 们 之 后 创 建 其 他 变 量 ， 那 么 这 些 变 量 可 能 会 破 坏 我 们 已 经 控 制 的 结 构 ， 为 了 避 免 这 种 情 况 ， 这 里 分 配 了 很 多 对 象 Z 的 实 例 ， 后 面 的 代 码 中 会 将 其 释 放 ， 由 于 P H P 的 堆 L I F O 的 特 点 ， 这 些 释 放 掉 的 内 存 会 优 先 于 U A F 的 那 块 内 存 分 配 ， 从 而 保 护 被 我 们 控 制 的 结 构 。 函 数 p t r 2 s t r 的 作 用 相 当 于 在 内 存 中 分 配 一 个 大 小 为 7 8 的 z e n d _ s t r i n g 结 构 ， 为 什 么 是 7 8 这 个 大 小 接 下 来 会 提 到 。 2 . 2 . 3   分 配 U A F 的 字 符 串 接 着 创 建 字 符 串 $ t h i s - > a b c ， 也 就 是 一 个 z e n d _ s t r i n g 结 构 ， 通 过 对 它 进 行 U A F ， 进 而 读 写 共 享 内 存 。 创 建 $ p 的 目 的 是 为 了 保 护 $ t h i s - > a b c ， 前 面 说 过 ， 一 个 P H P 对 象 往 往 由 许 多 结 构 组 成 ， 而 D a t e I n t e r v a l 中 的 t i m e l i b _ r e l _ t i m e 结 构 大
小 就 刚 好 为 7 8 ， 这 就 是 前 面 为 何 要 创 建 大 小 7 8 的 z e n d _ s t r i n g 的 原 因 。 此 时 的 内 存 布 局 如 下 图 所 示 ， 这 里 和 下 面 的 所 有 图 示 都 是 为 了 方 便 大 家 理 解 ， 因 为 P H P 各 种 变 量 、 对 象 都 是 由 好 几 个 结 构 组 成 ， 所 以 实 际 的 P H P 堆 内 存 排 布 肯 定 比 此 复 杂 。 2 . 2 . 4   触 发 U A F 并 验 证 接 着 u n s e t 当 前 对 象 $ y [ 0 ] 和 $ p ， u n s e t 掉 $ p 意 味 着 释 放 了 D a t e I n t e r v a l 的 t i m e l i b _ r e l _ t i m e 结 构 。 此 时 内 存 布 局 如 下 ： 然 后 我 们 将 分 配 一 个 与 其 大 小 相 同 的 字 符 串 （ $ p r o t e c t o r ） ， 由 于 P H P 堆 L I F O 的 特 点 ， 因 此 字 符 串 将 取 代 t i m e l i b _ r e l _ t i m e 结 构 的 位 置 。 接 着 就 是 最 重 要 的 一 步 ： 再 次 创 建 一 个 D a t e I n t e r v a l ， 它 的 t i m e l i b _ r e l _ t i m e 结 构 将 刚 好 占 据 上 图 中 f r e e 的 内 存 位 置 ， 同 时 $ t h i s - > a b c 仍 然 是 可 以 访 问 f r e e 这 块 内 存 的 ， 即 ： & t i m e l i b _ r e l _ t i m e   = =   & z e n d _ s t r i n g 。 因 此 我 们 可 以 通 过 修 改 D a t e I n t e r v a l 对 象 来 修 改 z e n d _ s t r i n g . l e n ， 从 而 控 制 可 以 读 / 写 内 存 的 长 度 。 完 成 上 述 步 骤 后 ， 我 们 还 需 要 验 证 U A F 是 否 成 功 ， 看 一 下 D a t e I n t e r v a l 的 定 义 ： 因 为 有 & t i m e l i b _ r e l _ t i m e   = =   & z e n d _ s t r i n g ， 所 以 这 里 的 $ d 和 $ y 分 别 对 应 z e n d _ s t r i n g 里 的 l e n 和 v a l 。 可 以 将 $ x （ D a t e I n t e r v a l ） 的 h 属 性 设 置 为 0 × 1 3 1 2 1 1 1 0 ， 再 通 过 $ t h i s - > a b c 字 符 串 （ z e n d _ s t r i n g ） 访 问 来 判 断 U A F 成 功 与 否 。
最 后 别 忘 了 释 放 掉 $ r o o m ， 产 生 的 空 闲 块 将 保 护 我 们 控 制 的 结 构 ， 后 面 再 新 建 变 量 都 会 优 先 使 用 这 些 内 存 。 2 . 2 . 5   控 制 并 修 改 U A F 的 结 构 利 用 这 个 P H P 漏 洞 的 目 的 是 为 了 能 够 获 取 读 写 S H M 的 权 限 ， 现 在 我 们 能 够 读 写 z e n d _ s t r i n g . v a l 的 内 容 ， 能 读 写 的 长 度 是 z e n d _ s t r i n g . l e n ， 因 此 只 要 将 l e n 的 值 增 加 到 包 括 S H M 的 范 围 。 这 时 我 们 已 经 知 道 了 S H M 的 绝 对 地 址 ， 还 需 要 知 道 a b c 的 绝 对 地 址 ， 得 到 两 者 之 间 的 偏 移 量 才 可 以 修 改 l e n 。 因 此 需 要 找 到 字 符 串 $ t h i s - > a b c 在 内 存 中 的 位 置 ： 然 后 我 们 就 可 以 计 算 两 者 间 的 偏 移 量 了 ， 还 要 注 意 的 是 ， 因 为 后 面 我 们 需 要 在 内 存 中 查 找 a l l _ b u c k e t ， 而 它 在 a p a c h e 的 内 存 中 所 以 我 们 的 l e n 需 要 将 S H M 和 a p a c h e 的 内 存 都 覆 盖 到 ， 所 以 作 者 的 W r i t e U p 中 说 S H M 和 a p a c h e 的 内 存 都 需 要 在 P H P 堆 之 后 ， 而 它 们 也 确 实 都 在 P H P 堆 之 后 。 找 S H M 和 a p a c h e 的 内 存 两 者 间 较 大 的 值 ， 减 去 a b c 的 地 址 ， 将 得 到 的 偏 移 通 过 D a t e I n t e r v a l 的 d 属 性 修 改 来 修 改 z e n d _ s t r i n g . l e n 。 这 等 同 于 将 z e n d _ s t r i n g 结 构 （ $ t h i s - > a b c ） 中 的 l e n 修 改 为 一 个 超 大 的 值 ， 一 直 包 括 到 S H M 和 A p a c h e 内 存 区 域 ， 这 下 我 们 就 可 以 读 写 这 个 范 围 内 的 内 存 了 。 2 . 3   在 内 存 中 定 位 a l l _ b u c k e t s 根 据 内 存 模 式 查 找 a l l _ b u c k e t s 数 组 的 位 置 ， 这 在 作 者 的 w r i t e u p 中 有 提 到 。 m u t e x 在 a l l _ b u c k e t s 偏 移 0 × 1 0 的 位 置 ， 而 m e t h 在 m u t e x 偏 移 0 × 8 的 位 置 ， 根 据 该 特 征 查 找 a l l _ b u c k e t s 数 组 。 首 先 ， 在 a p a c h e 的 内 存 中 搜 索 a l l _ b u c k e t s [ i d x ] - > m u t e x ， 接 着 验 证 m e t h ， 是 否 在 l i b a p r . s o 的 . d a t a 段 中 ， 最 后 因 为 m e t h 指 向 l i b a p r . s o
中 定 义 的 函 数 ， 因 此 验 证 其 是 否 在 . t e x t 段 。 满 足 这 些 条 件 的 就 是 我 们 要 找 的 a l l _ b u c k e t s [ ] 结 构 。 顺 便 将 m e t h 结 构 中 所 有 函 数 指 针 打 印 出 来 ， 第 6 个 就 是 我 们 要 用 到 的 ( * c h i l d _ i n i t ) ( ) 。 这 是 m e t h 的 结 构 ， 可 以 对 照 着 看 一 看 ： 2 . 4   计 算 索 引 b u c k e t s 再 回 忆 一 下 漏 洞 利 用 的 方 法 ： 在 S H M 中 构 造 p a y l o a d   （ p r e f o r k _ c h i l d _ b u c k e t 结 构 ） ， 同 时 将 剩 余 S H M 区 域 喷 射 p a y l o a d 地 址 （ 并 非 p a y l o a d 起 始 地 址 ） ，   控 制 指 向 喷 射 区 域 ， 所 以 & a l l _ b u c k e t s [ b u c k e t ] 中 的 m e t h 必 然 指 向 p a y l o a d   ， 而 p a y l o a d 中 我 们 已 将 c h i l d _ i n i t 函 数 的 指 针 覆 盖 为 我 们 想 要 执 行 函 数 的 指 针 ， 就 可 以 达 到 漏 洞 利 用 的 目 的 。 要 想 控 制 & a l l _ b u c k e t s [ b u c k e t ] 指 向 p r e f o r k _ c h i l d _ b u c k e t 结 构 ， 不 能 直 接 将 该 结 构 精 确 放 在 某 个 位 置 ， 然 后 直 接 计 算 两 者 间 的 偏 移 ， 因 为 a l l _ b u c k e t s 的 地 址 在 每 优 雅 重 启 后 会 发 生 变 化 ， 所 以 漏 洞 被 触 发 时 a l l _ b u c k e t s 的 地 址 将 与 我 们 找 到 的 地 址 是 不 同 的 ， 这 就 是 作 者 在 E X P 中 进 行 堆 喷 的 目 的 。 a l l _ b u c k e t s 是 一 个 结 构 体 数 组 ， 元 素 p r e f o r k _ c h i l d _ b u c k e t 结 构 由 三 个 指 针 组 成 ：
如 果 在 S H M 中 大 量 喷 射 一 个 指 向 p a y l o a d 的 地 址 ， 只 要 让 & a l l _ b u c k e t s [ b u c k e t ] 落 在 该 区 域 内 ， p a y l o a d 就 能 得 到 执 行 ， 如 下 图 中 所 示 ： 并 且 在 E X P 中 ， 作 者 一 共 使 用 了 两 种 方 法 来 提 高 利 用 成 功 率 ： 1 . 喷 射 S H M ， 也 就 是 上 面 提 到 的 方 法 2 . 修 改 每 个 w o r k e r 的 p r o c e s s _ s c o r e - > b u c k e t 结 构 ， 这 样 一 来 ， 利 用 成 功 率 就 可 以 再 乘 以 A p a c h e   W o r k e r 的 数 量 。 这 也 是 e x p 开 始 时 调 用 $ w o r k e r s _ p i d s   =   g e t _ w o r k e r s _ p i d s ( ) ; 的 原 因 。 先 看 第 一 种 方 法 的 实 现 ： S H M 的 起 始 部 分 是 被 a p a c h e 的 各 个 进 程 使 用 的 ， 可 以 用 S H M 末 尾 的 绝 对 地 址 $ s p r a y _ m a x ， 减 去 未 使 用 的 内 存 空 间 大 小 $ s p r a y _ s i z e ， 得 到 要 喷 射 区 域 的 大 小 $ s p r a y _ s i z e ； 而 未 使 用 空 间 的 大 小 可 以 通 过 减 去 已 使 用 w o r k e r _ s c o r e 结 构 的 总 大 小 得 到 。 然 后 找 喷 射 区 域 地 址 的 中 间 值 ， 计 算 它 和 a l l _ b u c k e t s 地 址 的 偏 移 ， 再 除 以 p r e f o r k _ c h i l d _ b u c k e t 结 构 的 大 小 ， 就 可 以 得 到 一 个 a l l _ b u c k e t s 数 组 下 标 索 引 ， 但 别 忘 了 S H M 在 a l l _ b u c k e t s 之 前 ， 所 以 这 个 索 引 还 要 取 负 值 ， 这 个 值 用 $ b u c k e t _ i n d e x _ m i d d l e 表 示 。 这 样 做 的 目 的 在 于 ， 在 每 优 雅 重 启 后 ， 即 便 a l l _ b u c k e t s 的 地 址 有 所 变 化 ， & a l l _ b u c k e t s [ b u c k e t ] 指 向 的 位 置 会 在 $ s p r a y _ m i d d l e 上 下 浮 动 ， 最 大 程 度 上 保 证 了 该 指 针 落 在 喷 射 的 内 存 范 围 内 ， 如 下 图 所 示 ：   2 . 5   设 置 p a y l o a d 并 喷 射 S H M P a y l o a d 由 三 个 部 分 组 成 1 . b u c k e t ， 用 来 存 放 要 执 行 的 命 令 ， 这 是 因 为 p a y l o a d 已 经 成 了 几 个 结 构 的 叠 加 。 2 . m e t h ， 它 还 是 a p r _ p r o c _ m u t e x _ u n i x _ l o c k _ m e t h o d s _ t 结 构 ， 只 是 它 的 c h i l d _ i n i t 替 换 成 了 z e n d _ o b j e c t _ s t d _ d t o r ， 其 他 指 针 置 空 。 3 . p r o p e r t i e s ， 这 是 P H P 内 部 结 构 z e n d _ o b j e c t 的 一 个 成 员 。 回 忆 漏 洞 的 攻 击 链 ， 最 后 的 c h i l d _ i n i t 被 替 换 成 函 数 z e n d _ o b j e c t _ s t d _ d t o r 执 行 ， 其 原 型 如 下 ， 传 入 一 个 z e n d _ o b j e c t 结 构 ： 所 以 原 本 传 给 c h i l d _ i n i t 的 & m y _ b u c k e t - > m u t e x （ p r e f o r k _ c h i l d _ b u c k e t 结 构 的 一 部 分 ） 就 和 z e n d _ o b j e c t 相 叠 加 了 。 z e n d _ o b j e c t _ s t d _ d t o r 的 执 行 又 导 致 以 下 调 用 链 ：
上 面 的 代 码 p r o p e r t i e s 是 一 个 z e n d _ a r r a y 结 构 ， 如 下 所 示 ， 我 们 控 制 其 中 的 a r D a t a ， p D e s t r u c t o r ， 如 果 我 们 将 上 面 & h t - > a r D a t a [ 0 ] - > v a l 放 入 要 执 行 的 命 令 ， p D e s t r u c t o r ( ) 覆 盖 为 s y s t e m 的 地 址 ， 就 可 以 实 现 命 令 执 行 了 。 回 到 e x p 中 ， 首 先 构 造 b u c k e t 部 分 ， 放 入 要 执 行 的 命 令 ， 没 有 参 数 时 默 认 执 行 ” c h m o d   + s   / u s r / b i n / p y t h o n 3 . 5 ″ ， 但 是 自 定 义 的 命 令 长 度 也 不 能 超 过 1 5 2 字 节 。 然 后 是 m e t h ， 将 原 本 c h i l d _ i n i t 的 指 针 改 为 z e n d _ o b j e c t _ s t d _ d t o r ： 经 过 调 试 也 可 以 看 到 c h i l d _ i n i t 被 覆 盖 ： 然 后 是 p r o p e r t i e s （ z e n d _ a r r a y 和 a p r _ p r o c _ m u t e x _ t 结 构 的 叠 加 ） ， u - n T a b l e M a s k 的 位 置 将 用 作 a p r _ p r o c _ m u t e x _ t 结 构 的 m e t h ， 而 a r D a t a 指 向 p a y l o a d 中 的 b u c k e t 。
将 各 部 分 组 合 ： 通 过 前 面 U A F 控 制 的 字 符 串 a b c 写 入 S H M 未 使 用 部 分 的 开 头 ： 打 印 信 息 ， 将 S H M 剩 下 的 部 分 喷 射 为 p r o p e r t i e s 的 地 址 讲 到 这 里 可 以 再 回 头 看 看 文 章 刚 开 始 的 图 ， 应 该 就 更 容 易 理 解 了 。   2 . 6   进 一 步 提 高 成 功 率 前 面 还 讲 到 ， 可 以 修 改 每 个 w o r k e r 的 p r o c e s s _ s c o r e - > b u c k e t 结 构 ， 这 样 一 来 ， 利 用 成 功 率 就 可 以 再 乘 以 A p a c h e   W o r k e r 的 数 量 ， 因 为 2 . 4 中 计 算 出 的 b u c k e t 索 引 能 落 在 了 S H M 之 外 ， 如 果 有 多 个 w o r k e r ， 如 下 图 所 示 ， 就 能 提 高 & a l l _ b u c k e t s [ b u c k e t ] 落 在 S H M 中 的 概 率 ： 迭 代 查 找 每 个 p r o c e s s _ s c o r e 结 构 直 到 找 到 每 个 P I D ， 再 将 找 到 的 P I D $ w o r k e r s _ p i d s 中 的 P I D 对 比 ， 匹 配 的 就 说 明 是 正 确 的 结 构 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理