搜索

[8067] 2014-06-05_GoAgent漏洞可能导致中间人攻击

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2014-06-05_GoAgent漏洞可能导致中间人攻击 G o A g e n t 漏 洞 可 能 导 致 中 间 人 攻 击 F r e e B u f   2 0 1 4 - 0 6 - 0 5 作 者   v i r u s d e f e n d e r 原 文   h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 4 / J u n / 9 。 对 少 数 句 子 词 语 和 标 点 进 行 了 调 整 。 — — — — — — — — — — — - G o A g e n t   导 入 公 开 私 钥 的 根 证 书 的 问 题 ·   测 试 页 面 ·   如 何 防 范 风 险 ·   如 何 删 除   G o A g e n t   C A   证 书 G o A g e n t   没 有 进 行 正 确 的   T L S   验 证 ， 存 在 中 间 人 攻 击 的 风 险 ·   如 何 防 范 风 险 G o A g e n t   ( h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t )   利 用   G o o g l e   A p p   E n g i n e ( G A E )   来 代 理 上 网 的 一 个 工 具 ， 深 受 网 民 的 欢 迎 。 但 是 ， G o A g e n t   的 安 装 和 配 置 中 存 在 两 点 严 重 安 全 风 险 的 问 题 却 鲜 为 人 知 。 这 两 点 安 全 风 险 都 可 能 被 攻 击 者 利 用 进 行   “ 中 间 人 攻 击 （ m a n - i n - t h e - m i d d l e   a t t a c k ） ”   来 窃 取   G o A g e n t   用 户 的 网 络 帐 号 密 码 等 敏 感 信 息 ， 其 概 括 描 述 如 下 ： -   G o A g e n t   在 启 动 时 会 尝 试 自 动 往 系 统 的 可 信 根 证 书 中 导 入 一 个 名 为   “ G o A g e n t C A ”   的 证 书 。 由 于 这 个 证 书 的 私 钥 是 公 开 的 ， 导 致 任 何 人 都 可 以 利 用 这 个 私 钥 来 伪 造 任 意 网 站 的 证 书 ， 进 行   H T T P S   中 间 人 攻 击 。 即 使 在 不 开 启   G o A g e n t   时 ， 这 种 攻 击 的 风 险 仍 然 存 在 。 换 而 言 之 ， 一 旦 这 个 证 书 被 导 入 ， 攻 击 者 可 以 用 此 绕 过 几 乎 所 有 网 站 的   H T T P S   保 护 。 -   G o A g e n t   本 身 对   T L S   证 书 的 认 证 存 在 问 题 ， 而 且 默 认 时 不 对 证 书 进 行 检 查 ， 这 导 致 在 使 用   G o A g e n t   时 存 在   H T T P S   中 间 人 攻 击 的 风 险 。 事 实 上 曾 经 有 用 户 在   G o A g e n t   主 页 上 的 问 题 跟 踪 列 表 中 指 出 了 这 两 个 安 全 问 题 （ 见 以 下 链 接 ） ， 但 既 没 有 修 复 也 没 有 广 泛 公 开 ， 多 数 用 户 ， 尤 其 是 非 中 文 用 户 可 能 并 不 知 情 。 下 面 是 这 两 个 问 题 的 详 细 解 释 。 -   h t t p s : / / c o d e . g o o g l e . c o m / p / g o a g e n t / i s s u e s / d e t a i l ? i d = 1 1 0 9 1 -   h t t p s : / / c o d e . g o o g l e . c o m / p / g o a g e n t / i s s u e s / d e t a i l ? i d = 8 0 3 1 G o A g e n t   导 入 公 开 私 钥 根 证 书 的 问 题 导 入 公 开 私 钥 根 证 书 的 问 题 G o A g e n t   在 启 动 时 会 尝 试 在 系 统 中 导 入 一 个 根 证 书 来 避 免 访 问   H T T P S   网 站 时 的 证 书 报 警 ， 但 在 默 认 情 况 下 所 导 入 证 书 的 私 钥 是 公 开 的 。 因 为 私 钥 公 开 ， 任 何 人 可 以 作 为   “ G o A g e n t   C A ”   来 签 发 任 何 网 站 的 证 书 。 即 使 在   G o A g e n t   没 有 启 动 甚 至 卸 载 的 情 况 下 ， 这 个 公 钥 仍 会 遗 留 在 系 统 中 。 在 有 些 系 统 中 ， G o A g e n t   所 导 入 的 根 证 书 不 仅 被   G o A g e n t   默 认 使 用 的 浏 览 器 信 任 ， 其 他 的 浏 览 器 也 可 能 会 信 任 这 一 根 证 书 ， 从 而 受 到 这 一 问 题 的 影 响 。 G o A g e n t   所 导 入 的 这 一 公 开 私 钥 根 证 书 的 指 纹 是 ： S H A 1   F i n g e r p r i n t = A B : 7 0 : 2 C : D F : 1 8 : E B : E 8 : B 4 : 3 8 : C 5 : 2 8 : 6 9 : C D : 4 A : 5 D : E F : 4 8 : B 4 : 0 E : 3 3 M D 5   F i n g e r p r i n t = 5 6 : B 1 : 2 0 : 8 6 : 1 B : 0 A : B 0 : 6 1 : 3 8 : 0 0 : 1 B : C 3 : 6 7 : C F : 0 C : C C 包 含 这 一   “ G o A g e n t   C A ”   证 书 以 其 私 钥 （ 文 件 中   “ — – B E G I N   R S A   P R I V A T E   K E Y — – ”   位 置 ） 的 文 件   U R L   为 ：
h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / l o c a l / C A . c r t 根 据 版 本 信 息 ， 这 一 证 书 和 私 钥 从   2 0 1 1   年   6   月 甚 至 更 早 的 时 间 以 来 一 直 保 持 不 变 。 h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / f a 9 9 5 9 e 5 7 7 3 9 5 e 4 8 a 4 7 7 f d 5 4 9 5 a f b c 2 3 6 3 a 5 1 b a a / l o c a l / C A . k e y G o A g e n t   主 要 包 含 两 个 部 分 ： 一 个 在 用 户 计 算 机 上 运 行 的 本 地 代 理 程 序 p r o x y . p y ， 以 及 一 个 在   G A E   上 运 行 的 远 程 代 理 程 序 g a e . p y 。 h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / l o c a l / p r o x y . p y h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / s e r v e r / g a e / g a e . p y 安 装 时 ， 用 户 需 要 上 传   g a e . p y   到   G A E 。 用 户 浏 览 器 通 过 设 置 一 个 本 地 代 理 将 H T T P / H T T P S   请 求 转 发 到   p r o x y . p y ， 再 由 p r o x y . p y   和   g a e . p y   进 行 通 信 。 默 认 情 况 下 ， G o A g e n t   在 启 动 时 试 图 导 入 上 述   G o A g e n t   C A   证 书 。 具 体 的 代 码 为 p r o x y . p y   中 的   C e r t U t i l . i m p o r t _ c a ： h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / l o c a l / p r o x y . p y # L 3 3 7 这 个 函 数 会 根 据 用 户 操 作 系 统 通 过 不 同 的 方 式 尝 试 导 入 证 书 ， 在 某 些 情 况 下 会 需 要 管 理 员 （ r o o t / a d m i n i s t r a t o r ） 权 限 。 在 W i n d o w s   下 ， 这 个 函 数 会 调 用 C e r t A d d E n c o d e d C e r t i f i c a t e T o S t o r e   这 一   A P I 。 在   O S   X   下 ， 会 尝 试 执 行 系 统 命 令 s e c u r i t y   f i n d - c e r t i f i c a t e   - a   - c   " G o A g e n t "   |   g r e p   " G o A g e n t "   > / d e v / n u l l   | |   s e c u r i t y   a d d - t r u s t e d - c e r t   - d   - r t r u s t R o o t   - k   " / L i b r a r y / K e y c h a i n s / S y s t e m . k e y c h a i n "   " < p w d > / C A . c r t " 在   U b u n t u   下 ， 会 拷 贝 证 书 文 件 到   / u s r / l o c a l / s h a r e / c a - c e r t i f i c a t e s   然 后 执 行   u p d a t e - c a - c e r t i f i c a t e s 。 在 其 他   G N U / L i n u x   发 行 版 中 ， 会 尝 试 执 行 以 下 命 令 更 改   N S S   数 据 库 ： c e r t u t i l   - L   - d   s q l : $ H O M E / . p k i / n s s d b   |   g r e p   " G o A g e n t "   | |   c e r t u t i l   - d   s q l : $ H O M E / . p k i / n s s d b   - A   - t   " C , , "   - n   " G o A g e n t "   - i   " < p w d > / C A . c r t " 由 于   F i r e f o x   采 用 了 不 同 的 方 式 存 储 证 书 ， 这 一 自 动 安 装 过 程 不 会 导 入   G o A g e n t C A   证 书 到   F i r e f o x   中 。 但 是   G o A g e n t   的 安 装 指 南 和   F A Q   中 说 明 了 如 何 手 动 导 入 这 一 证 书 ： h t t p s : / / c o d e . g o o g l e . c o m / p / g o a g e n t / w i k i / I n s t a l l G u i d e   h t t p s : / / c o d e . g o o g l e . c o m / p / g o a g e n t / w i k i / F A Q   。 这 一 证 书 随 后 被   p r o x y . p y   用 来 作 为   H T T P S   中 间 人 来 避 免 浏 览 器 在 访 问   H T T P S 网 站 时 出 现 报 警 。 G o A g e n t   的 工 作 原 理 如 下 ： 首 先   p r o x y . p y   将 浏 览 器 的   H T T P 请 求 进 行 编 码 并 转 发 给   g a e . p y ， g a e . p y   完 成 收 到 的 请 求 然 后 将 结 果 进 行 编 码 后 返 回 给 p r o x y . p y ， 最 后   p r o x y . p y   将 结 果 转 发 给 浏 览 器 来 完 成   “ 翻 墙 ”   过 程 。 由 于   G A E   的 限 制   （ 免 费   a p p   无 法 使 用   s o c k e t   接 口 ） ， 对 于   H T T P S   请 求 ， p r o x y . p y   无 法 进 行 透 明 转 发 ， 只 能 作 为 中 间 人 先 和 浏 览 器 完 成 连 接 ， 然 后 获 得 其 中 的 明 文 请 求 以 后 在 转 发 给   g a e . p y 。 当 收 到   C O N N E C T   请 求 （ 这 意 味 着 浏 览 器 正 在 浏 览 一 个   H T T P S   网 站 ） ，   p r o x y . p y   首 先 利 用   G o A g e n t   C A   签 发 一 个 假 的 证 书 来 和 浏 览 器 完 成 握 手 ， 从 用 户 的 角 度 ， 所 有 的   H T T P S   网 站 的 证 书 都 是 由 事 先 导 入 的   “ G o A g e n t   C A ”   认 证 的 ， 所 以 不 会 报 警 。 有 些 浏 览 器 会 对 少 数 网 站 的 证 书 进 行 特 别 的 检 查 （ C e r t i f i c a t e   P i n n i n g ） ， 这 种 情 况 下   " G o A g e n t   C A ”   所 签 发 的 证 书 可 能 会 触 发 证 书 不 安 全 的 报 警 。 G o A g e n t   的 这 种 工 作 方 式 导 致   H T T P S   不 再 是 浏 览 器 到 网 站 的 端 到 端 安 全 通 信 ， 而 变 成 了 p r o x y . p y   到   G A E ， 以 及   G A E 到 网 站 两 段 独 立 的   H T T P S   连 接 ， G A E   能 够 看 到 请 求 和 应 答 的 明 文 。 测 试 页 面 测 试 页 面 请 访 问   h t t p s : / / g o a g e n t - c e r t - t e s t . b a m s o f t w a r e . c o m /   来 进 行 测 试 。 这 个 页 面 使 用 了 一 个 由   G o A g e n t   C A   签 发 的 证 书 。 如 果 你 的 浏 览 器 没 有 受 到 影 响 ， 会 显 示 报 警 信 息 ； 如 果 没 有 看 到 报 警 ， 则 表 明 你 的 浏 览 器 导 入 了 公 开 的   G o A g e n t   C A   证 书 ， 存 在 严 重 安
全 风 险 。 如 何 防 范 风 险 G o A g e n t   本 身 带 有 生 成 证 书 文 件   C A . c r t   的 功 能 。 只 需 要 删 除   l o c a l / C A . c r t   文 件 就 能 保 证   G o A g e n t   所 导 入 的 证 书 是 唯 一 的 ， 不 会 被 网 络 上 的 攻 击 者 利 用 来 进 行 攻 击 。 下 面 的   “ 补 丁 （ p a t c h ） ”   文 件 会 帮 助 你 从   G o A g e n t   的   g i t   仓 库 中 删 除   C A . c r t 文 件 ， 请 下 载 补 丁 文 件 并 执 行 以 下 命 令 ： g i t   a m   0 0 0 1 - R e m o v e - s t a t i c - C A . c r t . p a t c h . 如 果 你 不 是 通 过   g i t   获 得 G o A g e n t （ 例 如 直 接 从   h t t p : / / c o d e . g o o g l e . c o m / p / g o a g e n t /   上 的 链 接 下 载 得 到 ） ， 请 手 动 删 除   l o c a l / C A . c r t 文 件 。   h t t p s : / / w w w . b a m s o f t w a r e . c o m / s e c / 0 0 0 1 - R e m o v e - s t a t i c - C A . c r t . p a t c h   如 果 你 以 前 曾 经 使 用 过   G o A g e n t ， 务 必 要 检 查 系 统 中 任 何 可 能 的 地 方 ， 删 除   S H A - 1 指 纹 为 A B : 7 0 : 2 C : D F : 1 8 : E B : E 8 : B 4 : 3 8 : C 5 : 2 8 : 6 9 : C D : 4 A : 5 D : E F : 4 8 : B 4 : 0 E : 3 3 的 “ G o A g e n t   C A ”   证 书 （ 建 议 使 用 浏 览 器 访 问 上 面 的 测 试 页 面 进 行 检 查 ） 。 下 面 说 明 在 常 见 系 统 中 检 查 和 删 除   G o A g e n t   C A 证 书 的 方 法 。 如 何 删 除 如 何 删 除   G o A g e n t   C A   证 书 证 书 F i r e f o x   中 ， 打 开   “ p r e f e r e n c e s ” ， ” A d v a n c e d ” ,   “ C e r t i f i c a t e s ” ,   “ V i e w   C e r t i f i c a t e s ” ,   “ A u t h o r i t i e s ” ， 然 后 在 证 书 列 表 中 找 到   “ G o A g e n t C A ” ， 选 中 并 点 击   “ D e l e t e   o r   D i s t r u s t … ”   按 钮 ， 然 后 确 认 。 U b u n t u   下 ， 删 除   / u s r / l o c a l / s h a r e / c a - c e r t i f i c a t e s / G o A g e n t . c r t   然 后 执 行 u p d a t e - c a - c e r t i f i c a t e s   - - f r e s h W i n d o w s   下 ， 请 参 考 以 下 链 接 ： h t t p : / / t e c h n e t . m i c r o s o f t . c o m / e n u s / l i b r a r y / c c 7 5 4 8 4 1 . a s p x # B K M K _ a d d l o c a l 中 " A d d i n g   c e r t i f i c a t e s   t o   t h e   T r u s t e d   R o o t   C e r t i f i c a t i o n   A u t h o r i t i e s   s t o r e   f o r   a   l o c a l   c o m p u t e r "   的 步 骤 ， 但 是 在   s t e p   8   时 右 键 选 中 " G o A g e n t   C A "   然 后 选 择   " D e l e t e " 。 在   M a c   O S   X 下 ， 打 开   “ K e y c h a i n   A c c e s s ”   应 用 ， 点 击 锁 图 标 并 输 入 密 码 解 锁 。 在 边 上 的 控 制 面 板 中 ， 选 择   " S y s t e m "   以 及 " C e r t i f i c a t e s " ， 选 中   " G o A g e n t   C A "   然 后 按   “ D e l e t e ”   键 ， 点 击   " D e l e t e "   按 钮 并 输 入 你 的 密 码 确 认 。 G o A g e n t   没 有 进 行 正 确 的   T L S   验 证 ， 存 在 中 间 人 攻 击 的 风 险 默 认 情 况 下 ， G o A g e n t   会 通 过   H T T P S   来 保 护 本 地   p r o x y . p y   和   G A E   服 务 器 上 的   g a e . p y   之 间 的 通 信   （ 在 配 置 文 件   p r o x y . i n i   中 相 关 的 设 置 默 认 为 g a e . m o d e = h t t p s ） 。 但 是 同 样 在 默 认 情 况 下 ， G o A g e n t   不 会 要 求 对   G A E   服 务 器 的 证 书 进 行 验 证 （ g a e . v a l i d a t e = 0 ） ， 这 导 致 本 地   p r o x y . p y   和   A p p   E n g i n e 服 务 器 之 间 的 通 信 存 在   H T T P S   中 间 人 攻 击 的 风 险 。 此 外 ，   g a e . v a l i d a t e 配 置 项 同 样 控 制   A p p   E n g i n e   上 的   g a e . p y   是 否 对 网 站 服 务 器 的 证 书 进 行 验 证 ， 默 认 配 置 下 这 一 配 置 为   0   导 致   g a e . p y   也 不 会 对 网 站 证 书 进 行 验 证 ， 使 得   g a e . p y 和 网 站 之 间 的 通 信 同 样 存 在   H T T P S   中 间 人 攻 击 的 风 险 。 即 使 修 改 配 置 启 用 证 书 验 证 （ g a e . v a l i d a t e = 1 ） ， G o A g e n t   对   A p p   E n g i n e   服 务 器 证 书 的 验 证 也 并 不 严 格 ： 在   p r o x y p y   中 只 是 对 证 书 的   o r g a n i z a t i o n N a m e   进 行 了 粗 略 的 检 查 （ 是 否 为   “ G o o g l e   ”   开 头 ） ， 而 没 有 对 主 机 名 （ h o s t n a m e ） 进 行 匹 配 。 h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / l o c a l / p r o x y . p y # L 1 6 2 3
将 配 置 改 为   g a e . v a l i d a t e = 1   同 时 会 启 用   g a e . p y   段 对 网 站 服 务 器 证 书 的 验 证 ， 这 部 分 的 事 先 没 有 明 显 的 问 题 。 h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / s e r v e r / g a e / g a e . p y # L 1 8 4 G o A g e n t   还 提 供 了 一 个 可 选 功 能 ， 通 过   R C 4   和 一 个 共 享 密 钥 来 对   p r o x y . p y   和 g a e . p y   之 间 的 数 据 进 行 进 一 步 的 混 淆 。 启 用 这 一 功 能 需 要 在   p r o x y . i n i   中 设 置 g a e . p a s s w o r d ， 以 及   g a e . o p t i o n s = r c 4 ， 并 在   g a e . p y   中 设 置 _ _ p a s s w o r d _ _   变 量 。 h t t p s : / / g i t h u b . c o m / g o a g e n t / g o a g e n t / b l o b / c 4 3 8 6 8 0 8 e a 9 4 3 e 2 e b e d 2 5 f 1 e 5 2 6 4 9 4 3 3 5 4 e 3 f 9 c b / s e r v e r / g a e / g a e . p y # L 5 但 是 ， 这 里 的   R C 4   加 密 只 能 起 到 一 个 简 单 的 混 淆 作 用 ， 无 法 在 不 启 用   H T T P S   的 情 况 下 利 用 这 一 功 能 来 防 止 中 间 人 攻 击 。 G o A g e n t   中 的   R C 4   无 法 实 现 数 据 的 机 密 性 ， 因 为 密 码 本 身 会 通 过 一 个   G - p a s s w o r d   头 在   p r o x y . p y   和   g a e . p y   中 传 送 ， 而 且 在 两 段 通 信 中 会 使 用 同 样 的 密 码 流 （ k e y s t r e a m ） ， 导 致 攻 击 者 很 容 易 通 过 密 文 的   X O R 操 作 来 获 得   X O R   过 的 明 文 （ 见 流 密 码 的 重 用 问 题 ， S t r e a m   C i p h e r   K e y   R e u s e ） ， 进 而 得 到 明 文 。 在 这 里   R C 4   只 能 起 到 防 止 其 他   G o A g e n t   用 户 共 享 服 务 端 流 量 的 目 的 ， 无 法 提 供 更 多 的 保 护 来 防 止 网 络 攻 击 。 如 何 防 范 风 险 如 何 防 范 风 险 确 认 在   p r o x y . i n i   中 设 置 了   g a e . m o d e = h t t p s   （ 默 认 ） ， 并 且 启 用 了 证 书 验 证   g a e . v a l i d a t e = 1 （ 非 默 认 ） 。 这 样 的 设 定 基 本 上 能 够 防 止   p r o x y . p y   和 G A E   服 务 器 ， 以 及   G A E   服 务 器 和 网 站 服 务 器 之 间 的   H T T P S   中 间 人 攻 击 。 由 于 p r o x y . p y   中 没 有 对 证 书 的 主 机 名 进 行 严 格 匹 配 ， p r o x y . p y   和   G A E   服 务 器   的 通 信 仍 存 在 （ 相 对 较 小 的 ） 风 险 ， 如 果 有 人 能 够 申 请 到   o r g a n i z a t i o n N a m e   字 段 以 “ G o o g l e   ”   开 头 的 证 书 ， 仍 然 能 够 成 功 进 行 H T T P S   中 间 人 攻 击 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理