搜索

[29016] 2021-06-18_CVE-2021-31800：我们如何使用Impacket攻击自身

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-06-18_CVE-2021-31800：我们如何使用Impacket攻击自身 C V E - 2 0 2 1 - 3 1 8 0 0 ： 我 们 如 何 使 用   I m p a c k e t   攻 击 自 身 O t s 安 全   2 0 2 1 - 0 6 - 1 8 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 根 据 其 官 方 文 档 官 方 文 档 ， I m p a c k e t   是 一 组 用 于 处 理 网 络 协 议 的   P y t h o n   类 。 I m p a c k e t   专 注 于 为 某 些 协 议 （ 例 如   S M B 1 - 3   和   M S R P C ） 和 其 他 协 议 实 现 本 身 提 供 对 数 据 包 的 低 级 编 程 访 问 。 C h e c k m a r x   安 全 研 究 团 队 在 对   I m p a c k e t   进 行 调 查 后 ， 发 现 了 一 个 路 径 遍 历 漏 洞 ， 该 漏 洞 可 能 允 许 攻 击 者 将 恶 意 文 件 写 入 目 标 上 的 任 何 路 径 并 实 现 远 程 代 码 执 行   ( R C E ) 。 该 漏 洞 编 号 为   C V E - 2 0 2 1 - 3 1 8 0 0 ， 不 仅 存 在 于   I m p a c k e t   库 中 ， 还 存 在 于 其 他 实 现 易 受 攻 击 代 码 的 工 具 中 ， 例 如 C r a c k M a p E x e c   和 “ H o n e y p o t s ” 。 C V S S   分 数 分 数 C V S S : 3 . 0 / A V : N / A C : L / P R : L / U I : N / S : C / C : H / I : H / A : H C V S   分 数 ： 9 . 9 （ 关 键 ） 影 响 总 结 影 响 总 结 如 果 该 漏 洞 被 利 用 ， 攻 击 者 可 以 将 文 件 写 入 受 影 响 计 算 机 上 的 任 何 位 置 。 这 可 以 根 据 环 境 和 操 作 系 统 以 多 种 方 式 提 升 为   R C E 。 这 将 在 本 文 后 面 进 行 演 示 。 描 述 描 述 I m p a c k e t   的   s m b s e r v e r   容 易 受 到 路 径 遍 历 攻 击 。 连 接 到 正 在 运 行 的   s m b s e r v e r   实 例 的 攻 击 者 可 以 列 出 任 意 文 件 并 将 其 写 入 受 攻 击 主 机 上 的 任 何 位 置 （ 不 仅 仅 是 为 服 务 器 选 择 的 工 作 目 录 ） 。 原 因 是 虽 然   s m b c l i e n t （ 当 然 还 有   W i n d o w s   客 户 端 ） 中 的 文 件 名 中 的 相 对 路 径 有 验 证 ， 但   I m p a c k e t   S M B   服 务 器 实 现   s m b s e r v e r   不 会 验 证 它 ， 这 允 许 攻 击 者 使 用   s m b c l i e n t   的 编 辑 版 本 来 利 用 任 何 人 谁 部 署 了 一 个   s m b s e r v e r   实 例 。 漏 洞 分 析 漏 洞 分 析 以 下 两 行 从 收 到 的   S M B   请 求 中 获 取 文 件 名 路 径 ， 并 尝 试 列 出 其 目 录 ， 但 不 确 保 该 路 径 位 于 预 期 的 工 作 目 录 内 。 这 可 能 使 攻 击 者 能 够 读 取 文
件 系 统 的 内 容 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t / b l o b / c b 6 d 4 3 a 6 7 7 c 3 3 8 d b 9 3 0 b c 4 e 9 1 6 1 6 2 0 8 3 2 c 1 e c 6 2 4 / i m p a c k e t / s m b s e r v e r . p y # L 3 4 8 5 h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t / b l o b / c b 6 d 4 3 a 6 7 7 c 3 3 8 d b 9 3 0 b c 4 e 9 1 6 1 6 2 0 8 3 2 c 1 e c 6 2 4 / i m p a c k e t / s m b s e r v e r . p y # L 8 7 6 以 下 两 行 从 接 收 到 的   S M B   请 求 中 获 取 文 件 名 路 径 和 内 容 ， 并 尝 试 将 内 容 写 入 接 收 到 的 路 径 ， 而 无 需 确 保 该 路 径 位 于 预 期 的 工 作 目 录 中 。 这 可 能 使 攻 击 者 能 够 任 意 写 入 文 件 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t / b l o b / c b 6 d 4 3 a 6 7 7 c 3 3 8 d b 9 3 0 b c 4 e 9 1 6 1 6 2 0 8 3 2 c 1 e c 6 2 4 / i m p a c k e t / s m b s e r v e r . p y # L 2 0 0 8 h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t / b l o b / c b 6 d 4 3 a 6 7 7 c 3 3 8 d b 9 3 0 b c 4 e 9 1 6 1 6 2 0 8 3 2 c 1 e c 6 2 4 / i m p a c k e t / s m b s e r v e r . p y # L 2 9 5 8 概 念 验 证 概 念 验 证 为 了 利 用 这 个 漏 洞 ， 我 们 编 辑 了   I m p a c k e t   自 己 的   s m b c l i e n t . p y   以 利 用 它 的 服 务 器 实 现 来 利 用   2   个 额 外 的 函 数 ： d o _ l s _ e x p l o i t   和 d o _ p u t _ e x p l o i t 。 这 些 函 数 与   d o _ l s   和   d o _ p u t （ 即 列 表 目 录 和 放 置 文 件 ） 完 全 相 同 ， 只 是 它 们 不 清 理 客 户 端 上 的 文 件 路 径 。 由 于 这 不 是 在 服 务 器 上 强 制 执 行 的 ， 当 与 包 含 路 径 遍 历 字 符 串   ( . . / )   的 路 径 结 合 使 用 时 ， 这 些 自 定 义 函 数 允 许 攻 击 者 在 文 件 系 统 的 任 何 位 置 读 取 目 录 和 写 入 文 件 。 以 下 是 两 个   s m b c l i e n t   函 数 与 其 原 始 对 应 函 数 之 间 的 区 别 ： 以 下 是 攻 击 的 概 念 验 证 流 程 ： 创 建 用 于 注 入 的 文 件 ， 使 用 编 辑 过 的   s m b c l i e n t . p y   脚 本 连 接 到 正 在 运 行 的   s m b s e r v e r   实 例 （ 出 于 演 示 目 的 在 本 地 运 行 ） 并 连 接 到   W O R K D I R
列 出 目 录 内 容 （ 空 目 录 ） 使 用 路 径 遍 历 漏 洞 列 出   / t m p 注 入   p o c . t x t   并 再 次 确 认 使 用 漏 洞 。 破 解 地 图 执 行 破 解 地 图 执 行 我 们 发 现 的 另 一 个 包 含 相 同 漏 洞 的 工 具 是   C r a c k M a p E x e c 。 C r a c k M a p E x e c （ 或 简 称   C M E ） 是 一 种 后 开 发 工 具 ， 主 要 用 于 攻 击 目 的 ， 主 要 基 于   I m p a c k e t   库 。 我 们 发 现 了 三 个 使 用 易 受 攻 击 的   s m b s e r v e r   的 攻 击 模 块 ， 它 们 是 ： n e t r i p p e r 、 g e t _ t i m e d s c r e e n s h o t   和   g e t _ k e y s t r o k e s 。 当 攻 击 者 使 用 这 些 模 块 之 一 攻 击 受 害 者 时 ， C M E   会 打 开 一 个   s m b s e r v e r   实 例 以 收 集 结 果 。 正 如 我 们 之 前 所 见 ， 这 可 能 会 被 第 三 方 利 用 。 概 念 验 证 概 念 验 证 使 用   / v a r / w w w / h t m l   中 注 入 的   P H P   W e b s h e l l   来 利 用   C r a c k M a p E x e c   的   g e t _ t i m e d s c r e e n s h o t   模 块 。
蜜 罐 和 变 色 龙 蜜 罐 和 变 色 龙 最 后 ， 我 们 发 现 了 两 个 基 于 蜜 罐 的 工 具 （ 用 于 创 建 故 意 易 受 攻 击 的 环 境 ， 作 为 传 入 攻 击 的 绊 线 ） ， 名 为 ? ? ? H Y P E R L I N K “ h t t p s : / / p y p i . o r g / p r o j e c t / h o n e y p o t s / ” h o n e y p o t s ” 和 “   C h a m e l e o n   ” ，   ​ 其 中 再 次 包 含 相 同 的 漏 洞 。 “ H o n e y p o t s ” 是 一 个 p y t h o n   库 ， 它 在 单 个 P y P I   包 中 包 含 1 6   个 不 同 的 蜜 罐 （ 包 括 I m p a c k e t   的 s m b s e r v e r ） ， 用 于 监 控 网 络 流 量 。 C h a m e l e o n   是 来 自 同 一 创 建 者 的 一 个 项 目 ， 它 具 有 用 于 处 理 多 个 蜜 罐 的   G U I （ 从 “ 蜜 罐 ” 库 中 导 入 ） ， 它 再 次 包 含 相 同 的 漏 洞 。 概 念 验 证 概 念 验 证 使 用 注 入 的   S S H   密 钥 利 用 “ 蜜 罐 ” s m b s e r v e r 。
建 议 建 议 为 避 免 此 类 问 题 ， 请 将   I m p a c k e t   包 更 新 到 最 新 版 本 。 披 露 和 事 件 摘 要 披 露 和 事 件 摘 要 在 通 知   S e c u r e A u t h C o r p   后 ， 他 们 告 诉 我 们 ， 他 们 知 道 实 施 中 可 能 存 在 漏 洞 ， 从 这 个 这 个   1 0   年 前 的 评 论 可 以 看 出 。 年 前 的 评 论 可 以 看 出 。 尽 管 如 此 ， 他 们 确 实 承 认 了 该 漏 洞 并 迅 速 接 受 了 我 们 的 修 复 。 我 们 要 感 谢   S e c u r e A u t h C o r p   的 快 速 响 应 和 对 安 全 和 研 究 社 区 的 持 续 贡 献 。 披 露 时 间 表 披 露 时 间 表 2 0 2 1   年   4   月   2 0   日   –   披 露 2 0 2 1   年   4   月   2 0   日   –   S e c u r e A u t h C o r p   确 认 问 题 2 0 2 1   年   4   月   2 6   日   -   已 提 交 修 复 2 0 2 1   年   4   月   2 6   日   –   分 配 了   C V E - 2 0 2 1 - 3 1 8 0 0 2 0 2 1   年   5   月   3   日   -   发 布 了 固 定 版 本 2 0 2 1   年   6   月   1 6   日   –   公 开 披 露 最 后 的 话 最 后 的 话 I m p a c k e t   的 研 究 和 结 果 是 有 价 值 的 提 醒 ， 几 乎 任 何 可 以 部 署 在 组 织 中 的 代 码 都 必 须 定 期 测 试 并 使 其 合 规 ， 即 使 它 做 了 一 些 与 通 过   S M B   共 享 提 供 某 些 文 件 一 样 良 性 的 事 情 。 在 这 种 情 况 下 ， 公 司 安 全 专 家 可 以 部 署 的 多 个 工 具 ， 无 论 是 用 于 测 试 还 是 诱 捕 （ 蜜 罐 ） ， 实 际 上 都 会 使 自 己 容 易 受 到 攻 击 。 I m p a c k e t   在 安 全 专 业 人 士 中 非 常 受 欢 迎 ， 其 中 易 受 攻 击 代 码 的 衍 生 用 途 也 是 如 此 。 C h e c k m a r x   安 全 研 究 团 队 致 力 于 进 行 这 种 性 质 的 调 查 ， 以 更 好 地 更 广 泛 地 改 善 工 具 和 组 织 的 安 全 状 况 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理