搜索

[9652] 2015-12-18_Joomla高危漏洞扫描事件分析

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2015-12-18_Joomla高危漏洞扫描事件分析 J o o m l a 高 危 漏 洞 扫 描 事 件 分 析 白 帽 汇   F r e e B u f   2 0 1 5 - 1 2 - 1 8 1 . 摘 要 摘 要 1 2 月 月 1 4 日 ， 日 ， J o o m l a 官 方 网 站 紧 急 发 布 了 一 条 由 于 安 全 漏 洞 引 发 的 版 本 更 新 （ 官 方 网 站 紧 急 发 布 了 一 条 由 于 安 全 漏 洞 引 发 的 版 本 更 新 （ 3 . 4 . 6 ） ， 根 据 安 全 公 司 ） ， 根 据 安 全 公 司 s u c u r i 对 外 发 布 的 信 息 ， 此 事 扫 描 对 外 发 布 的 信 息 ， 此 事 扫 描 时 间 是 利 用 了 时 间 是 利 用 了 J o o m l a 的 反 序 列 化 特 性 的 问 题 导 致 命 令 执 行 的 高 危 漏 洞 。 从 中 国 时 间 的 反 序 列 化 特 性 的 问 题 导 致 命 令 执 行 的 高 危 漏 洞 。 从 中 国 时 间 1 2 月 月 1 3 日 凌 晨 开 始 ， 有 日 凌 晨 开 始 ， 有 3 个 个 I P 针 对 全 球 的 网 站 进 行 针 对 全 球 的 网 站 进 行 了 大 规 模 的 扫 描 。 根 据 白 帽 汇 安 全 团 队 的 分 析 ， 此 次 扫 描 有 两 个 特 性 ： 一 是 针 对 中 国 的 网 站 扫 描 的 较 少 ， 大 批 量 针 对 国 外 的 网 站 进 了 大 规 模 的 扫 描 。 根 据 白 帽 汇 安 全 团 队 的 分 析 ， 此 次 扫 描 有 两 个 特 性 ： 一 是 针 对 中 国 的 网 站 扫 描 的 较 少 ， 大 批 量 针 对 国 外 的 网 站 进 行 的 ； 二 是 扫 描 并 没 有 触 发 实 质 性 的 破 坏 工 作 。 行 的 ； 二 是 扫 描 并 没 有 触 发 实 质 性 的 破 坏 工 作 。 虽 然 此 次 扫 描 并 没 有 进 行 实 质 性 的 破 坏 ， 但 是 漏 洞 本 身 是 高 危 害 性 的 ， 成 功 攻 击 的 情 况 下 会 导 致 敏 感 数 据 丢 失 ， 服 务 器 被 控 制 ， 甚 至 是 服 务 中 断 。 建 议 使 用 了 J o o m l a 的 网 站 尽 快 到 官 方 网 站 进 行 补 丁 更 新 ， 在 最 新 版 本 3 . 4 . 6 之 前 的 所 有 版 本 都 受 影 响 。 通 过 对 全 球 6 0 万 家 采 用 J o o m l a 的 网 站 进 行 进 一 步 分 析 ， 截 至 1 2 月 1 5 日 2 3 点 3 0 分 ， 此 次 漏 洞 影 响 至 少 超 过 4 9 0 0 0 家 网 站 ， 绝 大 部 分 集 中 在 国 外 （ 美 国 排 名 第 一 ） ， 国 内 目 前 监 控 到 超 过 6 0 0 家 网 站 存 在 漏 洞 ， 我 们 会 在 后 续 持 续 更 新 进 一 步 动 态 。 2 . 事 件 回 溯 事 件 回 溯 1 2 月 1 3 日 ， 由 I P   7 4 . 3 . 1 7 0 . 3 3   发 起 的 小 规 模 漏 洞 扫 描 ； 1 2 月 1 4 日 到 1 5 日 ， 由 I P   1 4 6 . 0 . 7 2 . 8 3   和 1 9 4 . 2 8 . 1 7 4 . 1 0 6 发 起 的 更 大 规 模 的 全 网 扫 描 。 1 2 月 1 5 日 ， 安 全 公 司 s u c u r i 的 官 方 博 客 对 外 发 布 消 息 ， 表 示 在 中 国 时 间 1 2 月 1 3 日 陆 续 截 获 到 了 来 自 3 个 I P 的 大 规 模 扫 描 事 件 。 1 2 月 1 5 日 ， j o o m l a 官 方 发 布 最 新 版 本 3 . 4 . 6 修 复 该 漏 洞 。 1 2 月 1 5 日 ， 国 内 各 安 全 相 关 团 队 对 互 联 网 进 行 了 激 烈 的 比 拼 扫 描 ， 为 国 内 互 联 网 流 量 增 长 持 续 贡 献 价 值 。 经 过 技 术 分 析 ， 此 次 漏 洞 利 用 需 要 在 一 个 s e s s i o n 会 话 内 进 行 两 次 发 包 ， 而 实 际 上 我 们 通 过 大 量 的 安 全 日 志 分 析 只 看 到 了 第 一 次 P O C 的 发 送 ， 并 没 有 看 到 第 二 次 利 用 的 过 程 ， 这 是 我 们 比 较 不 理 解 的 。 所 以 我 们 也 并 没 有 看 到 实 质 性 的 破 坏 工 作 ， 这 也 是 不 幸 中 的 万 幸 。 3 . 技 术 还 原 技 术 还 原 通 过 D i f f 最 新 的 补 丁 发 现 官 方 在 补 丁 中 删 除 了 U s e r - A g e n t 的 获 取 ： 这 个 漏 洞 存 在 于 反 序 列 化 s e s s i o n 的 过 程 中 ， 在 l i b r a r i e s / j o o m l a / s e s s i o n / s e s s i o n . p h p   文 件 中 ， _ v a l i d a t e 函 数 通 过 s e t 把 U s e r - A g e n t 数 据 存 入 进 数 据 库 ：
J o o m l a 并 没 有 采 用 p h p 自 带 的 s e s s i o n 处 理 机 制 ， 而 是 用 自 己 编 写 了 存 储 s e s s i o n 的 容 器 （ s t o r a g e ） ， 其 存 储 格 式 为 『 键 名   ＋   竖 线   ＋   经 过 s e r i a l i z e ( )   函 数 反 序 列 处 理 的 值 』 ， 这 里 并 没 有 正 确 处 理 多 个 竖 线 的 情 况 。 所 以 ， 攻 击 者 就 可 以 通 过 注 入 一 个 " | " 符 号 ， 将 它 前 面 的 部 分 全 部 认 为 是 n a m e ， 而 | 后 面 我 就 可 以 插 入 任 意 s e r i a l i z e 字 符 串 ， 进 行 触 发 反 序 列 化 漏 洞 了 。 我 们 可 以 构 造 一 个 e x p 插 入 U s e r - A g e n t : U s e r - A g e n t :   } _ _ t e s t | O : 2 1 : " J D a t a b a s e D r i v e r M y s q l i " : 3 : { s : 2 : " f c " ; O : 1 7 : " J S i m p l e p i e F a c t o r y " : 0 : { } s : 2 1 : " d i s c o n n e c t H a n d l e r s " ; a : 1 : { i : 0 ; a : 2 : { i : 0 ; O : 9 : " S i m p l e P i e " : 5 : { s : 8 : " s a n i t i z e " ; O : 2 0 : " J D a t a b a s e D r i v e r M y s q l " : 0 : { } s : 8 : " f e e d _ u r l " ; s : 3 7 : ” p h p i n f o ( ) ; J F a c t o r y : : g e t C o n f i g ( ) ; e x i t ; " ; s : 1 9 : " c a c h e _ n a m e _ f u n c t i o n " ; s : 6 : " a s s e r t " ; s : 5 : " c a c h e " ; b : 1 ; s : 1 1 : " c a c h e _ c l a s s " ; O : 2 0 : " J D a t a b a s e D r i v e r M y s q l " : 0 : { } } i : 1 ; s : 4 : " i n i t " ; } } s : 1 3 : " c o n n e c t i o n " ; b : 1 ; } ð 进 行 访 问 站 点 ， 把 恶 意 的 U s e r - A g e n t 插 入 数 据 库 ， 然 后 再 此 访 问 站 点 成 功 利 用 （ 注 意 c o o k i e 保 证 一 致 ） 更 多 技 术 细 节 可 以 查 看 原 文 。 4 . 影 响 危 害 影 响 危 害 易 攻 击 对 象 ： 采 用 J o o m l a 系 统 版 本 低 于 3 . 4 . 6 （ 也 就 是 1 2 月 1 5 日 之 前 的 所 有 版 本 ） 5 . 修 补 加 固 建 议 修 补 加 固 建 议 此 次 事 件 利 用 的 漏 洞 影 响 范 围 非 常 广 泛 ， 所 以 请 所 有 采 用 J o o m l a 的 网 站 尽 快 升 级 至 3 . 4 . 6 版 本 或 安 装 官 方 补 丁 。
注 ： 下 载 补 丁 直 接 替 换 l i b r a r i e s j o o m l a s e s s i o n s e s s i o n . p h p 文 件 。 另 外 ， 可 以 通 过 加 入 一 些 安 全 云 防 护 类 产 品 来 进 行 保 护 ， 比 如 3 6 0 网 站 卫 士 ， 百 度 云 加 速 ， 知 道 创 宇 加 速 乐 等 等 ， 他 们 在 漏 洞 发 生 后 的 第 一 时 间 内 都 增 加 了 防 护 规 则 。 6 . 常 见 问 题 常 见 问 题 F A Q J o o m l a 是 什 么 ？ J o o m l a 是 一 套 在 国 外 相 当 知 名 的 内 容 管 理 系 统 （ 简 称 C M S ） ， 使 用 P H P 语 言 和 M y S Q L 数 据 库 开 发 ， 可 以 在 L i n u x 、   W i n d o w s 、 M a c O S X 等 各 种 不 同 的 平 台 上 执 行 。 在 国 内 实 际 应 用 的 场 景 不 算 太 多 。 这 次 扫 描 事 件 有 什 么 危 害 ？ 成 功 的 入 侵 能 够 导 致 敏 感 数 据 丢 失 ， 服 务 器 被 完 全 控 制 ， 甚 至 是 服 务 中 断 。 影 响 范 围 有 多 大 ？ 全 球 大 约 有 6 0 万 采 用 J o o m l a 进 行 建 站 的 网 站 ， 中 国 互 联 网 大 约 有 1 1 0 0 0 家 网 站 。 通 过 白 帽 汇 安 全 团 队 的 监 控 ， 至 少 有 4 9 0 0 0 家 网 站 受 影 响 ， 主 要 集 中 在 美 国 ， 国 内 实 际 影 响 的 网 站 数 超 过 6 2 7 家 。 到 哪 下 载 补 丁 ？ 3 . x 和 2 . x 版 本 地 址 下 载 ， 请 阅 读 原 文 我 应 该 怎 么 做 ？ 参 考 修 复 建 议 ， 直 接 更 新 版 本 或 者 补 丁 。 如 果 发 现 了 入 侵 痕 迹 ， 还 要 将 已 经 入 侵 成 功 的 后 门 进 行 清 除 。 7 . 影 响 的 部 分 网 站 影 响 的 部 分 网 站 此 次 漏 洞 影 响 的 网 站 主 要 集 中 在 国 外 ， 全 球 漏 洞 排 名 前 十 的 国 家 是 ： 1 1 7 8 1   美 国 6 5 2 2   德 国 3 6 2 2   波 兰 3 4 7 4   荷 兰 2 4 2 7   俄 罗 斯 2 4 2 3   法 国 1 7 5 1   英 国 1 3 9 2   意 大 利 1 2 3 2   澳 大 利 亚 1 0 4 9   加 拿 大 国 内 影 响 的 部 分 知 名 网 站 ： 国 内 影 响 的 部 分 知 名 网 站 ： 国 家 林 业 局 O P P O 手 机 中 央 广 播 电 视 大 学 华 东 政 法 大 学 香 港 中 文 大 学 G L P 集 团 中 山 大 学 东 莞 电 子 科 技 大 学 红 豆 集 团 富 国 集 团 陕 西 师 范 大 学 商 丘 廉 政 网 世 界 O 2 O 博 览 会 博 雅 方 略 咨 询 ( 集 团 ) 石 家 庄 铁 道 大 学
葵 花 游 戏 凉 山 矿 业 股 份 有 限 公 司 四 姑 娘 山 官 方 网 站 。 国 外 影 响 的 部 分 知 名 网 站 ： 国 外 影 响 的 部 分 知 名 网 站 ： 哈 佛 大 学 麻 省 理 工 大 学 剑 桥 大 学 I n t e l I E E E H o n d a 牛 津 大 学 东 京 大 学 加 州 州 议 会 大 厦 博 物 馆 U t a h 尤 他 政 府 网 南 佛 罗 里 达 大 学 A m t r a k 警 察 局 C a s h S t a r 。 对 应 的 世 界 地 图 为 ： 8 . 参 考 参 考 h t t p s : / / b l o g . s u c u r i . n e t / 2 0 1 5 / 1 2 / r e m o t e - c o m m a n d - e x e c u t i o n - v u l n e r a b i l i t y - i n - j o o m l a . h t m l h t t p s : / / g i t h u b . c o m / 8 0 v u l / p h p c o d z / b l o b / m a s t e r / r e s e a r c h / p c h - 0 1 3 . m d h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / i s s u e s / 6 3 4 7 h t t p : / / p h p . n e t / s e s s i o n _ s e t _ s a v e _ h a n d l e r h t t p : / / p h p . n e t / m a n u a l / z h / s e s s i o n . c o n f i g u r a t i o n . p h p # i n i . s e s s i o n . s e r i a l i z e - h a n d l e r h t t p s : / / g i t h u b . c o m / j o o m l a / j o o m l a - c m s / c o m p a r e / 3 . 4 . 5 . . . 3 . 4 . 6 ? d i f f = s p l i t & n a m e = 3 . 4 . 6 h t t p : / / d r o p s . w o o y u n . o r g / p a p e r s / 1 1 3 3 0 * 本 文 作 者 ： 白 帽 汇 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理