搜索

[28995] 2021-06-07_JOOMLA密码重置漏洞和存储的XSS以完全妥协

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-19
2021-06-07_JOOMLA密码重置漏洞和存储的XSS以完全妥协 J O O M L A   密 码 重 置 漏 洞 和 存 储 的   X S S   以 完 全 妥 协 O t s 安 全   2 0 2 1 - 0 6 - 0 7 ▼ 更 多 精 彩 推 荐 ， 请 关 注 我 们 ▼ 介 绍 J o o m l a   是 最 受 欢 迎 的   C M S - e s   之 一 ， 在 全 球 安 装 了 超 过   1 5 0   万 次 。 我 们 对   J o o m l a   3 . 9 . 2 4   进 行 了 渗 透 测 试 ， 发 现 了 一 个 密 码 重 置 漏 洞 ， 我 们 将 其 与 一 组 漏 洞 和 功 能 链 接 在 一 起 ， 以 实 现 对 底 层 服 务 器 的 全 面 入 侵 。 J o o m l a   拥 有 强 大 的   O O P   架 构 和 庞 大 的 代 码 库 。 强 大 的 输 入 验 证 无 处 不 在 ， 准 备 好 的 语 句 用 于 防 止   s q l   注 入 ， 并 且 在 需 要 整 数 的 地 方 使 用 类 型 转 换 。 同 样 通 过 查 看 代 码 ， 我 们 注 意 到 纵 深 防 御 措 施 在 许 多 地 方 应 用 ， 从 防 御 的 角 度 来 看 这 是 一 个 好 兆 头 ， 但 这 也 意 味 着 我 们 将 不 得 不 更 加 努 力 地 实 现 我 们 的 目 标 。 J o o m l a   密 码 重 置 漏 洞 为 了 搭 建 舞 台 ， 让 我 们 讨 论 一 下   J o o m l a   中 的 用 户 角 色 。 有 两 个 有 趣 的 角 色 ， 一 个 是 “ 管 理 员 ” ， 另 一 个 是 “ 超 级 管 理 员 ” 。 正 如 您 所 猜 测 的 那 样 ， 这 是 我 们 最 终 真 正 想 要 的 “ 超 级 管 理 员 ” ， 但 要 达 到 目 标 还 需 要 几 个 步 骤 。 我 们 的 目 标 之 一 是 密 码 重 置 功 能 。 但 是 ， 您 无 法 像 为 所 有 其 他 用 户 重 置 密 码 那 样 重 置 “ 超 级 管 理 员 ” 的 密 码 ， J o o m l a   开 发 人 员 已 经 想 到 了 这 一 点 ， 并 且 他 们 完 全 删 除 了 “ 超 级 管 理 员 ” 的 此 功 能 。 减 少 攻 击 面 始 终 是 一 个 好 主 意 ， 因 此 向 他 们 致 敬 。 但 是 ， 我 们 仍 然 可 以 为 不 是 “ 超 级 管 理 员 ” 的 任 何 其 他 用 户 重 置 密 码 。 在 这 种 情 况 下 ， 让 我 们 以 常 规 “ 管 理 员 ” 为 目 标 。 我 们 显 然 做 了 一 个 快 速 的   B u r p   扫 描 并 在 那 里 什 么 也 没 找 到 … … 这 并 不 奇 怪 ， 对 吧 ？ 很 可 能 其 他 所 有 人 都 在 我 们 之 前 进 行 了   B u r p   扫 描 ， 所 有 那 些 悬 而 未 决 的 成 果 都 已 被 淘 汰 。 所 以 我 们 开 始 做 代 码 审 查 。 由 于 复 杂 的   O O P   架 构 和 庞 大 的 代 码 库 ， 审 查   J o o m l a   源 代 码 并 不 容 易 。 你 必 须 深 入 挖 掘 才 能 找 到 一 些 东 西 。 所 以 事 实 是 ， 当 我 们 想 起 白 化 蜡 毒 化 密 码 重 置 链 接 的 旧 技 术 时 ， 我 们 准 备 放 弃 并 继 续 前 进 。 密 码 重 置 过 程 在   r e s e t . p h p   模 型 中 开 始 ： 我 们 需 要 深 入 挖 掘 并 检 查 域 是 如 何 添 加 到 重 置 链 接 的 。 以 下 是   U R I . p h p   中 的 代 码 ： $ l i n k   =   ' i n d e x . p h p ? o p t i o n = c o m _ u s e r s & v i e w = r e s e t & l a y o u t = c o n f i r m & t o k e n = '   .   $ t o k e n ; / /   P u t   t o g e t h e r   t h e   e m a i l   t e m p l a t e   d a t a . $ d a t a   =   $ u s e r - > g e t P r o p e r t i e s ( ) ; $ d a t a [ ' f r o m n a m e ' ]   =   $ c o n f i g - > g e t ( ' f r o m n a m e ' ) ; $ d a t a [ ' m a i l f r o m ' ]   =   $ c o n f i g - > g e t ( ' m a i l f r o m ' ) ; $ d a t a [ ' s i t e n a m e ' ]   =   $ c o n f i g - > g e t ( ' s i t e n a m e ' ) ; $ d a t a [ ' l i n k _ t e x t ' ]   =   J R o u t e : : _ ( $ l i n k ,   f a l s e ,   $ m o d e ) ; $ d a t a [ ' l i n k _ h t m l ' ]   =   J R o u t e : : _ ( $ l i n k ,   t r u e ,   $ m o d e ) ; $ d a t a [ ' t o k e n ' ]   =   $ t o k e n ; i f   ( ! e m p t y ( $ _ S E R V E R [ ' P H P _ S E L F ' ] )   & &   ! e m p t y ( $ _ S E R V E R [ ' R E Q U E S T _ U R I ' ] ) ) {     / /   T o   b u i l d   t h e   e n t i r e   U R I   w e   n e e d   t o   p r e p e n d   t h e   p r o t o c o l ,   a n d   t h e   h t t p   h o s t
答 对 了 ！ 我 们 发 现 在 U R I . p h p 中 使 用 H O S T 头 创 建 了 密 码 重 置 链 接 ， 因 此 容 易 受 到 主 机 头 中 毒 。 让 我 们 用   R e p e a t e r   试 试 这 个 ， 看 看 它 是 否 真 的 有 效 ： 几 分 钟 后 ， 这 封 光 荣 的 电 子 邮 件 到 达 我 的 收 件 箱 如 您 所 见 ， 主 机 由 攻 击 者 控 制 ， 受 害 者 将 被 带 到 恶 意 服 务 器 ， 该 服 务 器 将 收 集 密 码 重 置 令 牌 并 设 置 新 密 码 。 是 时 候 跳 一 支 小 舞 了 ！ 显 然 主 机 名 可 以 被 混 淆 ， 互 联 网 上 有 很 多 关 于 如 何 做 到 这 一 点 的 资 源 。 但 是 为 什 么 自 动 扫 描 没 有 发 现 这 个 b u g 呢 ？ 让 我 们 检 查 代 码 ， 看 看 问 题 出 在 哪 里 。 B e l l o w   是   r e s e t . p h p   文 件 ， 它 对 这 种 情 况 进 行 验 证 。 另 一 个 纵 深 防 御 措 施 是 您 每 小 时 只 能 重 置   $ m a x C o u n t   次 密 码 。 $ m a x C o u n t   变 量 在   c o n f i g . x m l   文 件 中 设 置 为   1 0 。     / /   T o   b u i l d   t h e   e n t i r e   U R I   w e   n e e d   t o   p r e p e n d   t h e   p r o t o c o l ,   a n d   t h e   h t t p   h o s t     / /   t o   t h e   U R I   s t r i n g .       $ t h e U R I   =   ' h t t p '   .   $ h t t p s   .   $ _ S E R V E R [ ' H T T P _ H O S T ' ]   .   $ _ S E R V E R [ ' R E Q U E S T _ U R I ' ] ; } i f   ( $ h o u r s S i n c e L a s t R e s e t   >   $ r e s e t H o u r s ) { / /   I f   i t ' s   b e e n   l o n g   e n o u g h ,   s t a r t   a   n e w   r e s e t   c o u n t $ u s e r - > l a s t R e s e t T i m e   =   J F a c t o r y : : g e t D a t e ( ) - > t o S q l ( ) ; $ u s e r - > r e s e t C o u n t   =   1 ; } e l s e i f   ( $ u s e r - > r e s e t C o u n t   <   $ m a x C o u n t ) { / /   I f   w e   a r e   u n d e r   t h e   m a x   c o u n t ,   j u s t   i n c r e m e n t   t h e   c o u n t e r + + $ u s e r - > r e s e t C o u n t ; }
这 现 在 说 得 通 了 。 如 果 您 的 扫 描 器 发 送 了   1 0 0   个 / 1 0 0 0   个 请 求 并 且 您 的   H O S T   H e a d e r   中 毒 攻 击 不 在 前   1 0   个 请 求 中 （ 很 可 能 不 会 ） ， 则 您 无 法 自 动 发 现 此 漏 洞 。 我 们 已 经 联 系   B u r p   S u i t e   讨 论 这 个 问 题 。 令 人 惊 讶 的 是 ， 这 个 错 误 多 年 来 一 直 未 被 发 现 ， 但 这 并 不 是 第 一 个 多 年 来 未 被 发 现 的 深 层 隐 藏 错 误 。 一 旦 毫 无 戒 心 的 用 户 点 击 链 接 （ 或 某 些   A V / E D R   软 件 扫 描 用 户 的 收 件 箱 ） ， 您 将 获 得 管 理 员 的 重 置 令 牌 并 重 置 他 的 密 码 。 不 要 太 兴 奋 ， 正 如 我 们 所 说 的   J o o m l a   中 有 两 种 类 型 的 “ 管 理 员 ” 角 色 ， 普 通 管 理 员 和 超 级 管 理 员 ， 我 们 将 在 下 一 节 讨 论 权 限 提 升 。 此 漏 洞 的   P y t h o n   P O C   位 于 此 处 。 通 过 存 储 的   X S S   提 升 权 限 下 一 个 是 什 么 ？ 让 我 们 尝 试 弄 乱 上 传 媒 体 功 能 。 我 们 尝 试 了 许 多 肮 脏 的 技 巧 来 上 传   p h p   文 件 ， 关 闭 但 没 有 雪 茄 。 查 看 代 码 很 明 显 他 们 正 在 对 文 件 名 、 扩 展 名 、 文 件 内 容 等 进 行 一 些 可 靠 的 验 证 。 无 论 如 何 ， 最 终 在 寻 找 我 们 可 以 滥 用 的 功 能 时 ， 我 们 发 现   a d m i n   用 户 实 际 上 拥 有 禁 用 某 些 上 传 限 制 的 权 限 。 只 是 一 些 限 制 ， 因 为   J o o m l a   开 发 人 员 在 硬 编 码 许 多 无 法 上 传 的 扩 展 （ . p h p 、 p h p 5 、 p h p 7 、 p h t m l   等 ） 方 面 做 得 很 好 。 最 重 要 的 是 ， 他 们 还 使 用 了 允 许 的 硬 编 码 扩 展 的 白 名 单 。 对   m i m e   类 型 进 行 了 类 似 的 方 法 ， 并 且 文 件 名 具 有 可 靠 的 字 母 数 字 验 证 。 他 们 没 有 在 黑 名 单 中 硬 编 码 的 一 件 事 是   . h t m l   扩 展 名 。 正 如 您 作 为 普 通 管 理 员 所 见 ， 我 们 能 够 添 加 “ . h t m l ” 作 为 “ 合 法 扩 展 名 ” 并 禁 用 “ 限 制 上 传 ” 。 } e l s e { / /   A t   t h i s   p o i n t ,   w e   k n o w   w e   h a v e   e x c e e d e d   t h e   m a x i m u m   r e s e t s   f o r   t h e   t i m e   p e r i o d $ r e s u l t   =   f a l s e ; }
我 们 试 图 列 入 白 名 单 的 “ p h p ” 扩 展 名 被 完 全 忽 略 ， 但 我 们 已 设 法 将 “ . h t m l ” 扩 展 名 列 入 白 名 单 。 现 在 我 们 可 以 继 续 上 传 一 个 “ h t m l ” 文 件 ， 其 中 包 含 一 个 针 对 “ 超 级 管 理 员 ” 用 户 的   X S S   负 载 。 您 可 以 使 用 内 部 消 息 传 递 功 能 将   X S S   负 载 传 递 给 超 级 管 理 员 ， 或 者 您 可 以 将 链 接 嵌 入 网 站 文 章 、 评 论 等 中 。 我 们 的   X S S   漏 洞 会 将 我 们 的 权 限 提 升 为 “ 超 级 管 理 员 ” ， 一 旦 受 害 者 访 问 该 链 接 ， 它 就 会 游 戏 结 束 。 您 可 以 在 此 处 查 看 我 们 的   P o C   。 您 需 要 在 顶 部 配 置 一 些 变 量 ， 其 中 包 含 您 已 经 泄 露 的 管 理 员 用 户 的 用 户 名 和   u s e r _ i d 。 此 错 误 已 分 配 为 C V E - 2 0 2 1 - 2 6 0 3 2 ， 并 已 在   J o o m l a   3 . 9 . 2 7   中 修 复 。
完 全 妥 协 完 全 妥 协 真 的 很 简 单 ， 大 多 数   C M S - e s   支 持 上 传 自 定 义 主 题 / 插 件 等 功 能 。 我 们 编 写 了 一 个 非 常 简 单 的 自 定 义 插 件 ， 它 为 我 们 提 供 了   R C E 。 这 仅 用 于   P o C   目 的 ， 不 应 在 真 实 环 境 中 如 此 使 用 。 您 可 以 在 此 处 找 到 我 们 的   P o C   。 缓 解 措 施 经 过 大 约   3   个 月 的 等 待 ， 密 码 重 置 漏 洞 仍 未 修 复 ， 更 多 地 被 认 为 是   U X   改 进 。 J o o m l a   团 队 计 划 在 接 下 来 的 几 周 内 发 布   P R ， 默 认 情 况 下 会 修 复 该 问 题 ， 但 仅 适 用 于 新 站 点 ， 因 为 他 们 表 示 不 想 冒 险 破 坏 现 有 站 点 ， 并 且 此 问 题 仅 影 响 非 - v h o s t   设 置 。 然 而 ， 好 消 息 是 至 少 该 补 丁 将 包 含 一 个 安 装 后 通 知 ， 以 警 告 现 有 用 户 有 关 该 问 题 的 信 息 ， 以 便 他 们 也 可 以 修 复 旧 网 站 。 J o o m l a   团 队 建 议 将   c o n f i g u r a t i o n . p h p   文 件 中 的   $ l i v e _ s i t e 变 量 设 置 为 您 网 站 的 域 ， 以 修 复 密 码 重 置 漏 洞 。 时 间 线 1 1 . 0 2 . 2 0 2 1   F o r t b r i d g e   向   J o o m l a   披 露 密 码 重 置 漏 洞 0 3 . 0 3 . 2 0 2 1   J o o m l a   回 复 说 这 个 问 题 现 在 记 录 在 他 们 的 网 站 上 ， 他 们 建 议 使 用 $ l i v e _ s i t e 变 量 0 8 . 0 3   2 0 2 1   F o r t b r i d g e   跟 进 另 一 个   X S S   漏 洞 ， 该 漏 洞 可 以 帮 助 将 权 限 从 管 理 员 升 级 为 超 级 管 理 员 2 6 . 0 3 . 2 0 2 1   J o o m l a   同 意 在 下 一 个 版 本   1 3 . 0 4 . 2 0 2 1   修 复 这 些 问 题 1 3 . 0 4 . 2 0 2 1   错 过 了 最 后 期 限 ， 漏 洞 仍 未 修 复 ， F o r t b r i d g e   允 许 再 次 延 期 ， 直 到 下 一 个 发 布 周 期 2 5 . 0 5 . 2 0 2 1   –   J o o m l a   在   3 . 9 . 2 7   版 本 中 发 布 了 针 对   X S S   漏 洞 的 补 丁 ， 密 码 重 置 漏 洞 将 在 接 下 来 的 几 周 内 通 过 “ t r u s t e d _ h o s t s ” 配 置 修 复 0 7 . 0 6 . 2 0 2 1   –   F o r t b r i d g e   发 布 文 章 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理