搜索

[28353] 2020-06-15_CVE-2020-5410SpringCloudConfig目录穿越漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-06-15_CVE-2020-5410SpringCloudConfig目录穿越漏洞 C V E - 2 0 2 0 - 5 4 1 0   S p r i n g   C l o u d   C o n f i g 目 录 穿 越 漏 洞 p 0 d e s t a   O t s 安 全   2 0 2 0 - 0 6 - 1 5 文 章 转 载 先 知 社 区 文 章 转 载 先 知 社 区   -   作 者 ： 作 者 ： p 0 d e s t a 漏 洞 描 述 漏 洞 描 述 S p r i n g   C l o u d   C o n f i g ， 2 . 2 . 3 之 前 的 2 . 2 . x 版 本 ， 2 . 1 . 9 之 前 的 2 . 1 . x 版 本 以 及 较 旧 的 不 受 支 持 的 版 本 允 许 应 用 程 序 通 过 s p r i n g - c l o u d - c o n f i g - s e r v e r 模 块 提 供 任 意 配 置 文 件 。 恶 意 用 户 或 攻 击 者 可 以 使 用 特 制 U R L 发 送 请 求 ， 这 可 能 导 致 目 录 遍 历 攻 击 。 S p r i n g   c l o u d   C o n f i g 已 经 出 现 过 两 次 目 录 穿 越 漏 洞 ， 分 别 是 C V E - 2 0 1 9 - 3 7 9 9 和 C V E - 2 0 2 0 - 5 4 0 5 , 可 参 考 之 前 的 文 章 : 。 漏 洞 补 丁 漏 洞 补 丁 这 次 补 丁 主 要 是 两 个 部 分 , 第 一 个 部 分 是 将 对 路 径 的 检 测 方 法 单 独 的 封 装 了 出 来 , 封 装 到 了 P a t h U t i l s 类 中 , 并 且 做 了 部 分 的 修 改 , 其 中 最 主 要 的 是 检 测 了 , 至 于 是 为 什 么 , 后 面 来 说 。 第 二 部 分 , 也 就 是 漏 洞 的 触 发 入 口 ， 在 e n v i r o n m e n t / E n v i r o n m e n t C o n t r o l l e r . j a v a 中 , 增 加 了 对 n a m e 、 l a b e l 字 段 的 检 测 h t t p s : / / x z . a l i y u n . c o m / t / 7 5 5 8 #
漏 洞 细 节 漏 洞 细 节 通 过 补 丁 我 们 可 以 大 概 知 道 漏 洞 应 该 是 出 在 E n v i r o n m e n t C o n t r o l l e r , 但 是 具 体 怎 么 触 发 并 不 知 道 , 所 以 我 们 需 要 跟 一 遍 正 常 逻 辑 看 一 下 处 理 流 程 。 既 然 是 目 录 穿 越 漏 洞 , 我 们 先 通 过 环 境 变 量 设 置 本 地 读 取 然 后 使 用 正 确 的 请 求 来 动 态 跟 踪 调 用 堆 栈 , 将 断 点 打 在 入 口 处 , 然 后 往 下 跟 p r o f i l e s :         a c t i v e :   n a t i v e     c l o u d :         c o n f i g :             s e r v e r :                 n a t i v e :                     s e a r c h - l o c a t i o n s :                         -   f i l e : / t e s t / c o n f i g - r e p o - m a s t e r h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 8 8 9 / 1 1 1 / 2 2 2 / 3 3 3
在 跟 到 的 时 候 发 现 参 数 进 行 了 拼 接 , 重 新 跟 进 g e t A r g s 看 一 下 e n v i r o n m e n t / N a t i v e E n v i r o n m e n t R e p o s i t o r y . j a v a
p r i v a t e   S t r i n g [ ]   g e t A r g s ( S t r i n g   a p p l i c a t i o n ,   S t r i n g   p r o f i l e ,   S t r i n g   l a b e l )   {                 L i s t < S t r i n g >   l i s t   =   n e w   A r r a y L i s t < S t r i n g > ( ) ;                 S t r i n g   c o n f i g   =   a p p l i c a t i o n ;                 i f   ( ! c o n f i g . s t a r t s W i t h ( " a p p l i c a t i o n " ) )   {                         c o n f i g   =   " a p p l i c a t i o n , "   +   c o n f i g ;                 }                 l i s t . a d d ( " - - s p r i n g . c o n f i g . n a m e = "   +   c o n f i g ) ;                 l i s t . a d d ( " - - s p r i n g . c l o u d . b o o t s t r a p . e n a b l e d = f a l s e " ) ;                 l i s t . a d d ( " - - e n c r y p t . f a i l O n E r r o r = "   +   t h i s . f a i l O n E r r o r ) ;                 l i s t . a d d ( " - - s p r i n g . c o n f i g . l o c a t i o n = "   +   S t r i n g U t i l s . a r r a y T o C o m m a D e l i m i t e d S t r i n g (                                 g e t L o c a t i o n s ( a p p l i c a t i o n ,   p r o f i l e ,   l a b e l ) . g e t L o c a t i o n s ( ) ) ) ;                 r e t u r n   l i s t . t o A r r a y ( n e w   S t r i n g [ 0 ] ) ;         } 主 要 在 g e t L o c a t i o n s 中 对 路 径 进 行 了 下 拼 接 , 声 称 了 一 个 将 e n v 中 的 u r i 拼 接 了 l a b e l , 生 成 新 的 l o c a t i o n , 那 么 这 个 点 就 是 我 们 目 录 穿 越 的 关 键 , 继 续 往 下 跟 , 在 中 会 将 a r g s 传 入 s p r i n g   b o o t 的 , 后 面 会 使 用 l o a d e r . l o a d 函 数 加 载 资 源 , 在 加 载 资 源 的 时 候 会 遍 历 l o c a t i o n s 拼 接 n a m e 来 获 取 资 源 , 首 先 来 判 断 是 否 存 在 文 件 , 如 果 文 件 存 在 , 则 去 使 用 u r l . o p e n C o n n e c t i o n 来 获 取 资 源 , 通 过 分 析 我 们 知 道 l a b e l 和 n a m e 是 我 们 可 控 的 传 入 , 因 为 是 借 助 的 u r l . o p e n C o n n e c t i o n , 结 合 补 丁 增 加 了 限 制 , 我 们 可 以 清 楚 的 知 道 通 过 在 n a m e 中 以 结 尾 , 使 e x t e n s i o n 成 为 锚 点 , 也 就 绕 过 了 后 缀 的 限 制 。 在 构 造 p o c 之 前 其 实 还 有 一 个 问 题 ， 就 是 这 里 我 们 知 道 一 开 始 是 没 有 对 路 径 进 行 检 测 的 , 那 么 我 们 是 否 可 以 直 接 使 用 来 穿 越 呢 ? 答 案 是 否 , 因 为 如 果 我 们 想 要 传 入 后 端 处 理 , 必 须 二 次 u r l 编 码 , 但 是 二 次 编 码 后 , 首 先 经 过 的 是 判 断 文 件 是 否 存 在 , 如 果 存 在 才 调 用 u r l . o p e n C o n n e c t i o n 来 处 理 , 经 过 一 次 解 码 后 , 显 然 该 路 径 文 件 是 不 存 在 的 。 这 里 就 有 了 跟 C V E - 2 0 2 0 - 5 4 0 5 一 样 的 操 作 , 将 替 换 成 了 e n v i r o n m e n t / N a t i v e E n v i r o n m e n t R e p o s i t o r y . j a v a C o n f i g u r a b l e A p p l i c a t i o n C o n t e x t   c o n t e x t   =   b u i l d e r . r u n ( a r g s ) u r l   =   e n v - u r i + l a b e l + n a m e + e x t e n s i o n # # . . / . . / ( _ ) /
, 处 理 方 法 在 p u b l i c   s t a t i c   S t r i n g   n o r m a l i z e ( S t r i n g   s )   {                 i f   ( s   ! =   n u l l   & &   s . c o n t a i n s ( S L A S H _ P L A C E H O L D E R ) )   {                         / /   " ( _ ) "   i s   u n c o m m o n   i n   a   g i t   r e p o   n a m e ,   b u t   " / "   c a n n o t   b e   m a t c h e d                         / /   b y   S p r i n g   M V C                         r e t u r n   s . r e p l a c e ( S L A S H _ P L A C E H O L D E R ,   " / " ) ;                 }                 r e t u r n   s ;         } 构 造 p o c : 构 造 完 这 个 p o c 会 想 到 , 既 然 是 l a b e l + n a m e 来 拼 接 的 , 我 们 是 否 可 以 不 用 管 l a b e l , 目 录 穿 越 的 方 法 在 n a m e 处 构 造 呢 ? 答 案 是 可 以 的 , p o c 如 下 参 考 参 考 h t t p s : / / t a n z u . v m w a r e . c o m / s e c u r i t y / c v e - 2 0 2 0 - 5 4 1 0 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 8 8 9 / f l a g . t x t % 2 3 / 2 2 2 / . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 . . % 2 8 _ % 2 9 t m p % 2 8 _ % 2 9 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 8 8 9 / . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F . . % 2 5 2 F t m p % 2 5 2 F f l a g . t x t % 2 3 / 2 2 2 / 1 1
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理