搜索

[28974] 2021-05-29_检测CVE-2021-31166–HTTP漏洞

文档创建者：s7ckTeam
浏览次数：61
最后更新：2025-01-19
2021-05-29_检测CVE-2021-31166–HTTP漏洞 检 测   C V E - 2 0 2 1 - 3 1 1 6 6   –   H T T P   漏 洞 O t s 安 全   2 0 2 1 - 0 5 - 2 9 作 者 ： B e n   R e a r d o n ， C o r e l i g h t   安 全 研 究 员 在 本 博 客 中 ， 我 们 旨 在 对   C o r e l i g h t   L a b   对 关 键   H T T P   漏 洞 的 响 应 的 生 命 周 期 的 一 部 分 提 供 一 点 见 解 。 去 年 ， 我 们 开 源 了 许 多 此 类 响 应 （ 请 参 阅 附 录   A ） ， 这 很 好 地 展 示 了 威 胁 格 局 不 断 变 化 的 性 质 。 它 还 有 助 于 突 出 我 们 通 过 这 些 包 的 开 发 跟 踪 的 一 些 问 题 。 与 我 们 对   S o l a r w i n d s   事 件 的 回 应 类 似 ， 我 们 旨 在 阐 明 两 个 高 级 问 题 ：   您 如 何 知 道 您 的 企 业 是 否 可 能 正 在 运 行 易 受 攻 击 的 系 统 ？ 您 如 何 知 道 对 手 是 否 正 在 探 查 此 漏 洞 ？ 在   5   月 的 补 丁 星 期 二 中 ， 微 软 发 布 了 一 个 针 对 运 行 H T T P . s y s   中 易 受 攻 击 版 本 功 能 的 系 统 的 关 键 补 丁 。 该 漏 洞 未 经 身 份 验 证 、 微 不 足 道 、 可 蠕 虫 ， 其   C V E   评 分 为   9 . 8 。 您 可 以 在 此 处 阅 读 该 漏 洞 的 潜 在 详 细 信 息 。 该 漏 洞 的 本 质 在 于 代 码 处 理 A c c e p t - E n c o d i n g   H T T P   标 头 的 方 式 。 A c c e p t - E n c o d i n g   标 头 只 是 客 户 端 发 送 的 一 个 标 头 ， 用 于 通 知 服 务 器 客 户 端 可 以 理 解 的 压 缩 算 法 。 如 果 客 户 端 可 以 接 受 多 个 算 法 ， 则 这 些 算 法 之 间 以 逗 号 分 隔 ， 这 就 是   C V E - 2 0 2 1 - 3 1 1 6 6   漏 洞 所 在 。 如 果   A c c e p t - E n c o d i n g   标 头 中 的 逗 号 之 间 有 空 格 （ 或 根 本 没 有 空 格 ） ， 就 会 触 发 漏 洞 利 用 。 图   1 ： 用 逗 号 制 作 的   A c c e p t - E n c o d i n g   标 头 在 补 丁 发 布 几 天 后 ， D o S   漏 洞 的 有 效 概 念 验 证   ( P O C )   就 公 开 发 布 了 。 这 是 我 和 其 他   C o r e l i g h t e r s   A n t h o n y   K a s z a 、 A l e x   K i r k 、 A a r o n S o t o 和 P a u l   D o k a s 启 动 的 时 候 ， 目 的 是 快 速 制 定   Z e e k   包 和   S u r i c a t a   规 则 来 帮 助 防 守 者 。 我 们 在   P O C   发 布 后 的 几 个 小 时 内 开 发 了 一 个 初 始 解 决 方 案 ， 然 后 在 开 源 内 容 之 前 继 续 测 试 和 微 调 。 您 可 以 在 此 处 找 到 我 们 的   Z e e k   和   S u r i c a t a   内 容 h t t p s : / / g i t h u b . c o m / c o r e l i g h t / C V E - 2 0 2 1 - 3 1 1 6 6 。 为 了 让 我 们 了 解 在 这 些 响 应 的 开 发 过 程 中 我 们 看 到 的 各 个 方 面 ， 以 下 是 一 些 注 意 事 项 ： 检 测 逻 辑 是 否 产 生 可 接 受 数 量 的 误 报 结 果 ？ 检 测 逻 辑 是 否 产 生 可 接 受 数 量 的 误 报 结 果 ？ 我 们 的 经 验 表 明 ， 如 果 没 有 在 现 实 世 界 的 大 规 模 网 络 中 测 试 检 测 ， 即 使 是 高 度 特 定 的 检 测 逻 辑 也 可 能 以 令 人 惊 讶 的 方 式 触 发 误 报 。 没 有 多 少 检 测 能   1 0 0 %   保 证 不 会 产 生 误 报 ， 但 我 们 的 目 标 是 将 误 报 的 数 量 降 低 到 我 们 可 以 做 到 的 绝 对 最 低 水 平 。 它 是 否 检 测 到 它 是 否 检 测 到   P O C   的 细 微 变 体 ？ 的 细 微 变 体 ？   在 这 里 ， 我 们 的 目 标 是 将 假 阴 性 情 况 减 少 到 零 ， 也 就 是 说 ， 我 们 不 想 错 过 检 测 ， 因 为 逻 辑 过 于 具 体 和 脆 弱 ， 无 法 解 释 攻 击 向 量 的 微 小 变 化 。 为 了 实 现 这 一 目 标 ， 我 们 将   P O C   带 入 实 验 室 测 试 环 境 ， 在 该 环 境 中 我 们 测 试 漏 洞 利 用 的 几 个 微 妙 变 体 ， 并 在 易 受 攻 击 的 系 统 上 启 动 它 们 。 然 后 我 们 检 查 我 们 的 内 容 是 否 仍 然 为 所 有 这 些 变 化 提 供 预 期 的 通 知 / 警 报 。 这 个 过 程 中 的 挑 战 是 扩 大 检 测 范 围 以 包 括 更 多 的 工 作 变 化 也 会 带 来 更 多 误 报 的 可 能 性 。 调 整 误 报 与 误 报 涉 及 驯 服 相 反 的 力 量 ， 在 可 接 受 的 范 围 内 获 得 这 种 平 衡 有 时 既 是
一 门 艺 术 ， 也 是 一 门 科 学 。   检 测 的 性 能 特 点 是 什 么 ？ 检 测 的 性 能 特 点 是 什 么 ？ 这 就 是 经 验 脱 颖 而 出 的 地 方 。 关 键 是 要 确 保 检 测 逻 辑 消 耗 的 资 源 在 预 期 范 围 内 。 我 们 在 这 里 花 费 了 大 量 精 力 ， 因 为 对 于   Z e e k   和 S u r i c a t a   内 容 ， 通 常 存 在 决 定 检 测 策 略 成 败 的 微 妙 之 处 。 我 们 在 最 近 的 博 客 中 介 绍 了 一 些 实 用 的 Z e e k 性 能 提 示 示 例 。 回 到 漏 洞 利 用 的 生 命 周 期 ， 在 漏 洞 利 用   P O C （ 主 要 集 中 在   I I S   服 务 器 上 ） 发 布 几 天 后 ， 人 们 知 道 易 受 攻 击 的   A c c e p t - E n c o d i n g   解 析 函 数 也 被   W i n d o w s   远 程 管 理   ( W i n R M )   服 务 使 用 .   你 问 什 么 是   W i n R M ？ 出 于 本 博 客 的 目 的 ， 我 们 将 坚 持 简 要 说 明 ， 但 您 可 以 在 此 处 阅 读 更 多 相 关 信 息 。 W i n d o w s   远 程 管 理   ( W i n R M )   默 认 在   T C P   端 口   5 9 8 5   上 运 行 。 它 可 以 在 服 务 器 和 桌 面 上 运 行 ， 并 且 是 一 个 S O A P 驱 动 的   A P I ， 旨 在 使   W i n d o w s   系 统 可 以 使 用 诸 如   P o w e r s h e l l   之 类 的 脚 本 进 行 管 理 。 注 意 ： W i n R M   也 可 能 被 攻 击 者 用 于 横 向 移 动 ， 如 h t t p s : / / a t t a c k . m i t r e . o r g / t e c h n i q u e s / T 1 0 2 1 / 0 0 6 / 。 这 是 一 种 有 效 的 策 略 ， 有 时 也 被 称 为 “ 靠 陆 为 生 ” — — 因 为 用 于 横 向 移 动 的 工 具   ( W i n R M )   已 经 存 在 于 系 统 中 。 W i n R M   流 量 的 内 容 在   H T T P   会 话 之 外 加 密 ， 但   A P I   端 点 本 身 通 过   H T T P   明 文 运 行 。 最 重 要 的 是 ， 如 果 它 在 端 口   5 9 8 5   上 运 行 易 受 攻 击 的   H T T P . s y s   版 本 ， 它 也 可 以 被 利 用 。   在   W i n R M   可 能 使 用   H T T P . s y s   中 的 易 受 攻 击 代 码 的 可 能 性 被 报 道 后 不 久 ， 现 有 的 漏 洞 被 改 编 为   W i n R M   服 务 。 研 究 人 员 还 使 用 s h o d a n . i o 来 衡 量 互 联 网 上 有 多 少 系 统 暴 露 了   W i n R M ： 图   2 ： 互 联 网 暴 露 的   W i n R M   设 备 （ 来 源 ： s h o d a n . i o ） 请 注 意 ， 并 非 所 有 这 些 系 统 都 具 有 易 受 攻 击 的   H T T P . s y s   版 本 ， 但 这 确 实 有 助 于 量 化   W i n R M   本 身 的 暴 露 程 度 。 对 于 我 们 来 说 ， 与 I I S   相 比 ， 确 保 我 们 的 检 测 逻 辑 与   W i n R M   保 持 一 致 ， 这 当 然 是 足 够 的 上 下 文 ， 因 此 我 们 重 新 开 始 进 行 这 项 新 的 开 发 。
首 先 ， 我 们 在 我 们 的 实 验 室 受 害 者 机 器 上 检 查 了 来 自 端 口   5 9 8 5   的 服 务 器 标 头 ， 以 确 保 该 端 口 已 打 开 并 提 供 来 自   W i n R M   的 预 期 标 头 ： 图   3 ： W i n R M   服 务 器 标 头 接 下 来 ， 我 们 在 受 害 机 器 上 测 试 了 针 对   W i n R M   的 漏 洞 利 用 的 几 种 变 体 ， 发 现 我 们 几 天 前 发 布 的   Z e e k   和   S u r i c a t a   内 容 也 检 测 到 了 W i n R M   场 景 。 这 主 要 是 由 于   Z e e k   能 够 检 测 和 解 析 任 何 端 口 上 的   H T T P   流 量 。   下 图 显 示 了 漏 洞 利 用 的 微 不 足 道 ， W i n d o w s 计 算 机 的 重 新 启 动 以 及 Z e e k 软 件 包 和 S u r i c a t a 规 则 提 供 的 通 知 和 警 报 。
图   4 ： 具 有   Z e e k   和   S u r i c a t a   输 出 的 攻 击 者 / 受 害 者 流 图   5 ： 漏 洞 利 用 尝 试 生 成 的   Z e e k   通 知 示 例 图   6 ： 漏 洞 利 用 尝 试 生 成 的 示 例   S u r i c a t a   警 报 如 果 您 已 经 读 到 这 里 ， 您 可 能 有 兴 趣 了 解 您 的 公 司 网 络 上 有 多 少   W i n R M   活 动 。 不 管 漏 洞 是 否 存 在 ， 了 解 管 理 协 议 的 范 围 仍 然 很 有 价 值 ， 尤 其 是 当 它 们 可 能 被 对 手 用 于 横 向 移 动 时 。 如 果 您 有   Z e e k   日 志 ， 您 可 以 检 查 h t t p . l o g 以 获 取 一 些 常 见 的   W i n R M   工 件 。 请 注 意 ， 虽 然 还 有 其 他 方 法 可 以 发 现   W i n R M   活 动 ， 但 默 认 情 况 下 ， Z e e k   会 提 供 这 些 简 单 的 指 标 。
表   1 ： Z e e k   h t t p . l o g   中 的 示 例   W i n R M   工 件 C o r e l i g h t   L a b s   将 继 续 监 控 此 漏 洞 ， 尤 其 是 涉 及 远 程 代 码 利 用 或 新 攻 击 向 量 的 任 何 开 发 。 如 果 / 当 这 些 发 生 时 ， 我 们 将 根 据 需 要 重 新 测 试 和 修 改 我 们 的 内 容 。 同 时 ， 如 果 您 有 任 何 建 议 或 反 馈 ， 请 与 我 们 联 系 ！ 附 录   A ： 以 前 开 源 的 检 测 包 P i n g b a c k   C 2   检 测   发 布 于   2 0 2 1   年   5   月   7   日 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 1 / 0 5 / 0 7 / p i n g b a c k - i c m p - t u n n e l i n g - m a l w a r e / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / p i n g b a c k L i n u x   恶 意 软 件   C 2 “ R e d X O R ” 于 2 0 2 1 年   4   月   2 0   日 发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 1 / 0 4 / 2 0 / d e t e c t - c 2 - r e d x o r - w i t h - s t a t e - b a s e d - f u n c t i o n a l i t y / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / r e d x o r 检 测   S U N B U R S T / S o l a r i g a t e   活 动   于   2 2 / 1 2 / 2 0 2 0   发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 1 2 / 2 2 / d e t e c t i n g - s u n b u r s t - s o l a r i g a t e - a c t i v i t y - i n - r e t r o s p e c t - w i t h - z e e k - a - p r a c t i c a l - e x a m p l e / “ 坏 邻 居 ” 微 软 远 程 代 码 执 行   –   C V E - 2 0 2 0 - 1 6 8 9 8   于 2 0 2 0 年   1 0   月   1 5 日 发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 1 0 / 1 5 / z e e k - c o m m u n i t y - a c t i v a t e s - t o - d e t e c t - b a d - n e i g h b o r - c v e - 2 0 2 0 - 1 6 8 9 8 /   h t t p s : / / g i t h u b . c o m / c o r e l i g h t / C V E - 2 0 2 0 - 1 6 8 9 8 Z e r o L o g o n   –   C V E - 2 0 2 0 - 1 4 7 2 于 2 0 2 0   年   9 月   1 6   日 发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 9 / 1 6 / d e t e c t i n g - z e r o l o g o n - c v e - 2 0 2 0 - 1 4 7 2 - w i t h - z e e k / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / z e r o l o g o n F 5   大   I P   –   C V E - 2 0 2 0 - 5 9 0 2   发 布   0 7 / 0 1 / 2 0 2 0 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 7 / 2 8 / z e e k - i n - i t s - s w e e t - s p o t - d e t e c t i n g - f 5 s - b i g - i p - c v e 1 0 - c v e - 2 0 2 0 - 5 9 0 2 / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / C V E - 2 0 2 0 - 5 9 0 2 - F 5 B i g I P S I G R e d   –   C V E - 2 0 2 0 - 1 3 5 0   发 布 ， 2 0 2 0 年 7 月 1 4 日  
h t t p s : / / g i t h u b . c o m / c o r e l i g h t / S I G R e d R i p p l e 2 0   ( T r e k )   1 9   个 漏 洞   发 布 0 6 / 1 7 / 2 0 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 6 / 3 0 / r i p p l e 2 0 - z e e k - p a c k a g e - o p e n - s o u r c e d / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / r i p p l e 2 0 G n u T L S   –   C V E - 2 0 2 0 - 1 3 7 7 7   发 布 于 2 0 0 6 年 6 月 4 日 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 6 / 1 1 / d e t e c t i n g - g n u t l s - c v e - 2 0 2 0 - 1 3 7 7 7 - u s i n g - z e e k / h t t p s : / / g i t h u b . c o m / 0 x x o n / c v e - 2 0 2 0 - 1 3 7 7 7 C a l l   S t r a n g e r   –   C V E - 2 0 2 0 - 1 2 6 9 5   于   0 6 / 0 8 / 2 0   发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 6 / 1 0 / d e t e c t i n g - t h e - n e w - c a l l s t r a n g e r - u p n p - v u l n e r a b i l i t y - w i t h - z e e k / h t t p s : / / g i t h u b . c o m / c o r e l i g h t / c a l l s t r a n g e r - d e t e c t o r C u r v e b a l l   –   C V E - 2 0 2 0 - 0 6 0 1 于   2 0 年   1   月   1 7   日 发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 2 0 / 0 1 / 1 7 / d a y - 1 - d e t e c t i o n - c v e - 2 0 2 0 - 0 6 0 1 /   h t t p s : / / g i t h u b . c o m / 0 x x o n / c v e - 2 0 2 0 - 0 6 0 1 检 测   O p e n B S D   C V E - 2 0 1 9 - 1 9 5 2 1   S S H   漏 洞 利 用 尝 试   于   1 9   年   1   月   6   日 发 布 h t t p s : / / c o r e l i g h t . b l o g / 2 0 1 9 / 1 2 / 0 6 / d e t e c t i n g - o p e n b s d - c v e - 2 0 1 9 - 1 9 5 2 1 - s s h - e x p l o i t - a t t e m p t s / * * *   这 是 来 自 B e n   R e a r d o n 撰 写 的 B r i g h t   I d e a s   博 客 的 安 全 博 客 网 络 联 合 博 客 。 阅 读 原 文 ： h t t p s   :   / / c o r e l i g h t . b l o g / 2 0 2 1 / 0 5 / 2 7 / d e t e c t i n g - c v e - 2 0 2 1 - 3 1 1 6 6 - h t t p - v u l n e r a b i l i t y / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理