命令注入新玩法:巧借环境渗透测试目标

2019-01-24 181088人围观 ,发现 4 个不明物体 WEB安全

*本文作者:yangyangwithgnu,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

在一次漏洞赏金活动中,挖掘到一个不标准的命令注入漏洞,我无法用命令分隔符、命令替换符注入新命令让系统执行,所以,从”型态”上讲,它不算是命令注入漏洞;但我又可以借助目标环境让载荷到达系统命令行,实现读写文件、执行新命令,所以,”神态”来看,它又像是命令注入。这类借助环境间接注入命令的利用手法,很少在常规讨论命令注入的文章中看到,有必要落笔成文,与你分享。

0×00 酷趣 wargame

由于受赏金厂商保密协议所限,我无法公开原始漏洞详情,但我更清楚 “talk is cheap, show me the code”,耗时费神,找到一个 wargame,相较赏金漏洞,不但体现了相同精髓,这个 wargame 还多了些限制条件,所以,让它变得更加有趣、更有挑战。

我把 wargame 源码写入 CMDi_lab/escaping_quotation/index.php,核心如下:

快速过下源码。首先,用 GET 方法获取 f1、f2 两个参数;然后,用相同的正则过滤 f1、f2,包括过滤引号防止利用环境写 webshell,过滤常见命令分隔符(;)、命令替换符($())防止注入新命令,过滤常见命令(ls、cat)禁止基础操作;接着,用引号再建一道防御工事,让所有输入均在引号内,让命令行元字符失效;最后,以 f1、f2 为命令参数执行系统命令 file。

怎么样!看上去是很完善的防御体系。先正常访问试试:

服务端执行 file 命令,正确识别出目录和文件的类型。尝试提交命令分隔符(;)和命令替换符(“):

由于服务端正则表达式匹配上 ; 和 “,导致提交的文件名被置为空,所以,file 提示无法找到相关文件。

经验主义,我将从三个层面寻找突破口:攻击正则、攻击引号、攻击命令行。那么,我就准备开动了,各位。

0×01 成败正则

在命令注入场景下审查正则表达式,我习惯关注四个方面:是否使用多行模式修饰符(/foo/m)、是否遗漏匹配对象末尾的换行符(/^\d+$/)、是否允许空白字符(\s)、是否误写反斜杠匹配模式(/\\/)。

使用多行模式修饰符。把多行模式用于匹配希望允许的字符时,就会存在逻辑问题。比如,如下代码:

原本希望只允许 xx.xx.xx.xx 格式的 IP 地址,由于使用多行模式,只要输入中某行满足条件即可,那么,我可以用换行符输入多行,第一行满足要求 127.0.0.1、第二行任意内容,这样轻松绕过正则限制:

本 wargame 未使用多行模式,所以不存在这个问题。

遗漏匹配对象末尾的换行符。某些模式在匹配时会忽略字符串末的换行符,而换行符自身又是一个有效的目录分隔符,将导致注入新命令。如下代码:

原意是过滤掉输入中非字母、数字外的其他所有字符,输入换行符试试:

果然被过滤了。但,若把换行符放至字符串末尾,正则反而无法匹配上:

这可有趣了,又能愉快地注入新命令了:

本 wargame 未能成功过滤掉换行符,但不是因为上面的原因。

允许空白字符。空白字符包括空格、换行符、水平制表符、垂直制表符等四个,命令注入的好朋友换行符也在其中。代码:

本意只允许字母、数字、空格等字符,但遗漏了换行符,导致命令注入漏洞:

本 wargame 未能成功过滤掉换行符,但不是因为上面的原因。

误写反斜杠匹配模式。正则表达式自身是个字符串,并非直接传递给正则引擎,而是先由语言对字符串进行处理后再传递给正则引擎。我希望匹配上反斜杠(\),逆向思考下这个过程,由于反斜杠在正则引擎是个特殊字符,所以 \\ 才能让正则引擎正确识别到反斜杠 \;正则引擎之前,\\ 经过语言的的字符串处理,由于反斜杠在字符串中也是特殊字符,所以,一个 \ 就得用 \\ 表示、两个 \ 就得用 \\\\ 表示。那么,但凡用正则表达式匹配斜杠,必须得用 \\\\。这是不具备原生字符串特性(r)的脚本语言的通病,是有一点绕。比如:

访问看看:

记得 wargame 也过滤了反斜杠,回过头看看,哇喔,的确误用了:

OK,在正则部分,由于误写匹配模式,我找到了漏网之鱼,反斜杠。如何利用?不知道,走一步看一步。

0×02 引号逃逸

接着我来琢磨下 25、26 行。这两行目的很清晰,用引号包裹输入字符串,预防可能因正则过滤不严传递一些个特殊字符到命令行环境,思路是对的,但效果就差强人意了。

载荷一旦进入引号内,都将退化成普通字符串,好无杀伤力,唯一例外,命令替换符(“ 或 $()),遗憾的是,命令替换符被正则严防死守,无法到达 25、26 行。所以,下意识地想到,引号逃逸。

引号逃逸,目的是让输入跳脱至引号外,恢复特殊字符的身份,而不再被引号所束缚,仅仅是个普通字符。我常用两种手法,一是闭合、二是转义。

闭合手法逃逸引号。在输入中添加一个引号,让其与左引号结对,自然闭合,接着输入中就能出现恶意字符,最后输入中再添加一个引号,与右引号结对,或者,输入注释符以忽略右引号。比如:

我的所有输入都只能留在引号内,导致命令分隔符无法被命令行正确识别:

我在输入中增加两个引号(②、③),这样刚好与代码中的引号闭合(① 和 ②、③ 和 ④),所以,我的其他输入字符(;id;)就能出现在引号之外,成功逃逸引号:

转义手法逃逸引号。引号自身也是个特殊字符,如果有办法让它变成普通字符,那么输入的其他特殊字符就能让命令行正确识别。反斜杠可以办到!如下代码:

含有恶意字符的输入被限定在引号内:

假设服务端生成的命令模型为 file “foo” “;date”,这时,我利用反斜杠将 ② 号引号转义为普通字符,那么 ① 和 ③ 号引号将自然结合,接着利用注释符将 ④ 号引号注释掉,;date 对于命令行直接可见,逻辑上我能用 file “foo\” “;id #bar” 注入任意命令,再次逃逸到引号外:

注,注释符 # 需要 URL 编码为 %23。

好了,还记得前面我找到正则漏洞无法过滤反斜杠么,wargame 中的引号已经无法束缚我,虽然当下无法直接利用,但至少又让我向前迈出一步。

0×03 选项注入

继续看 29、30 两行的命令执行代码。显然这与命令注入漏洞多少有些关系。命令注入常见三种手法:利用命令分隔符注入命令、利用命令替换符注入命令、利用命令选项注入命令。

命令分隔符注入命令。命令分隔符包括换行符(\n)、分号(;)、逻辑与(&&、&)、逻辑或(||、|),若在 win 批处理脚本中还能用 %1A。比如:

命令替换符注入命令。shell 优先执行命令替换符内的命令,目的是便于运维人员将前个命令的输出作为后个命令的输入。命令替换符包括 $(…)、反引号 `…`。比如:

命令选项注入命令。命令选项(option)和命令参数(argument)是两个概念,国内外很多文献都将他俩混淆。比如:

其中,-d 是命令选项、/tmp/ 是命令参数。很多时候,蓝队过滤掉所有命令分隔符、命令替换符,虽然我无法直接注入命令,但我可以注入其他命令选项,这就给我很大想像空间,某些选项可以读取文件、有些又能写入文件、甚至执行其他命令。比如,有个页面,可以将 web 目录打包为你指定的归档文件,输入为归档文件名 $archive 参数,服务端过滤所有命令注入相关字符,调用 system(“tar -cf” . $archive . “*”) 执行命令:

但我通过注入 tar 命令的 –checkpoint、–checkpoint-action=exec 两个选项,成功执行命令 id:

1.png

wargame 中执行的是 file 命令,查看下它有哪些用得上的选项,比如,是否有选项可以读文件,man 中搜索 read,找到 -f 选项:

仔细看下,该参数并不能读取显示文件内容,只是从该文件中获取文件列表,没意思(。・_・。)。等等,报错信息中有啥提示:

哇噢,历害啦,通过注入命令选项 -f,让我可以读取 wargame 的文件内容。

0×04 全面瓦解

管它金城汤池还是铜墙铁壁,一颗松滑螺钉,它将全面瓦解。

将多个独立漏洞组合成漏洞链,完成目标攻击,绝对是我的 G 点。回顾前面的成果,由于误写正则表达式,导致无法过滤反斜杠;通过反斜杠,可以逃逸引号;通过引号逃逸,创造出命令选项注入的条件;通过注入 -f 选项,实现 flag 文件读取。过滤反斜杠的正则,就是那颗松滑的螺钉。

现在,攻击目标前,还剩一个问题,我并不清楚 flag 文件路径及文件名。首先想到的是暴破。土!的确很土气,用常见的 flag、FLAG、f14g 等等常见 flag 名暴了一遍,毫无收获。换个手法,通配符模式匹配。这下洋气了吧。

通配符模式匹配(globbing patterns),也叫路径名扩展(pathname expansion),简单来说,在表示文件名/目录名或路径时,你可以用 ? 代表任一可见字符、用 * 代表零或多个可见字符、用 [a-z] 代表字符范围,唯一例外,以 . 开头的文件或目录、以 / 分隔的路径必须显式写明,否则无法被模式匹配。

比如,我并不还知道 /tmp/ 目录下有个名为 FindMe 的文件,但,借助通配符多次测试,不但刺探出该文件的存在,还成功查看到文件内容:

好,现在一切就绪,攻击 CMDi_lab/escaping_quotation。有了前面的分析,我构造了载荷 f1=foo\&f2=-f ? bar #,将 file “foo” “bar” 转换为 file “foo\” “-f ? bar #”,猜解文件名只有一个字符的文件:

显然,没找到这样的文件,相同思路,借助 burp 自动查找文件名长度在 [1, 16] 的所有文件:

跑完还是没有找到任何文件。这就奇怪了,前面说过,通配符无法匹配 .,莫非是隐藏文件,调整下载荷, f1=foo\&f2=-f .? bar #,再次暴破:

找到名为 .f1a9_ 的目录,继续调整载荷 f1=foo\&f2=-f .f1a9_/.? bar #,暴破:

找到名为 .f1a9_/.flag_15_here.txt 的文件,带上准确路径访问:

WTF!不应该啊,逻辑上说不通。别急,捋一捋,莫非载荷中新增部分有被过滤的字符?回到前面的正则源码处,的确过滤了 flag 关键字,我用通配符替换,载荷变成 f1=foo\&f2=-f .f1a9_/.fl?g_15_here.txt bar #,另外,命令选项 -f 前应该得加个空格,最终载荷为 f1=foo\&f2= -f .f1a9_/.fl?g_15_here.txt bar #,来一发:

多么愉悦的攻击体验!

0×05 非预期解法

丝滑般的思绪,真实而自然!思绪自然?!正则未正确过滤反斜杠、利用反斜杠逃逸引号、通配符模式猜解路径、注入命令选项读取文件,做作、别扭!以上是我为了凑字数、增篇幅写的,真实的攻击手法并非如此。

仔细审计正则过滤的代码。用 \\ 而非 \\\\ 表述反斜杠,不仅无法正确过滤反斜杠,还会引发连锁反应。你看,紧随 \\ 其后的是 |\n:

前面提过,\\ 结果字符串转义后到达正则引擎变成 \,它与 |\n 结合变成 \|\n,正则引擎误解成匹配竖线与换行符的组合。当我输入竖线与换行符的组合,确认被过滤:

换言之,服务端只过滤 |\n 而放行 \n。有换行符,我可以直接注入新命令,比如,执行命令 id:

既然能注入命令了,查看 flag 易如反掌!命令 grep -r . . 可以查看当前目录下所有文件内容,服务端过滤了 grep,我用内部空变量轻松绕过(g$1rep -r . .),或者,无效转义绕过(g\rep -r . .),或者,通配符绕过(/bin/gr?p -r . . 或 /bin/gr[d-f]p -r . .),我有 1024 种方式吊打目标。

OK,清晰,争取一次搞定,构造载荷 ?f1=foo\&f2=%0a/bin/gr[d-f]p+-r+.+.+%23,页面显示:

0×06 故事尾声

最后聊聊你关心的赏金漏洞。大致业务场景,服务端执行打包命令压缩几个固定目录,允许用户输入归档文件名,多次刺探确认使用的 zip 命令,类似:

其中,归档文件名 archive.tar 可控。服务端正则过滤所有命令分隔符、命令替换符、其他元字符,同时,禁止出口流量,显然无法直接注入命令。

一番尝试,发现允许横线(-),这就告诉我可以注入命令选项。我开始分析环境 zip 自身有哪些选项可以为我所用。先查找关键字 execute,一无所获;接着搜索关键字 command,找选项 –unzip-command(简写 -TT) 和 –test(简写 -T),允许用户指定第三方程序来校验归档文件的完整性:

换言之,选项 -T 和 –unzip-command 可以注入新命令 id:

成功拿到赏金。

命令注入攻击,除了常规的命令分隔符、命令替换符之外,利用环境自身也能实现。

注一,wargame 的原型来自 Kaibro 所写的 wargame,见 http://final.kaibro.tw:10002/

注二,escaping_quotation 源码,以及更多命令注入相关 wargame 见 https://github.com/yangyangwithgnu/CMDi_lab

*本文作者:yangyangwithgnu,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

发表评论

已有 4 条评论

取消
Loading...

特别推荐

推荐关注

活动预告

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php