freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

CVE-2021-35211:Serv-U SFTP PreAuth RCE漏洞深度分析
2021-09-26 11:18:09

一、漏洞背景

2021年7月13日,美国微软威胁情报中心发布安全公告[1],文中指出黑客利用Serv-U 0day对极少数美国军工部门成功进行了攻击,同日Serv-U母公司solarwinds也发布安全公告[2],并针对最新大版本发布了补丁[3]。

(注意:目前发布的补丁只针对最新的15.2.3大版本,且只能是付费用户才能下载安装补丁,非付费用户目前无法从官方渠道获取有效补丁。)

根据补丁比较和fuzzer,宁静之盾安全团队成功复现了该远程溢出漏洞,并能在实战环境下成功利用。

截至9月10日,互联网上未发现任何有关该漏洞的技术分析和POC发布,也未发现更多新闻细节公布。

该漏洞是2003年Serv-U mdtm漏洞修补后出现的第一个RCE漏洞。

二、Serv-U软件说明

该软件是全球流行的商业闭源FTP服务器端软件,官方资料显示该软件全球有超过10W用户,软件默认支持ftp(21端口)/sftp(22端口)等,出于安全性考虑现在大部分使用的是sftp端口(流量使用非对称算法加密),主要运行在windows平台,新版本为X64程序,该软件22端口默认banner信息含有详细版本号,通过zoomeye搜索显示近一年IP量为13000个(全量为6.7W多)。

其中15.2.3大版本有1100台,最新补丁版本15.2.3.742有900台,该漏洞影响范围是Serv-U 版本 < 15.2.3 HF2(即15.2.3.742)。按照近一年存活13000台,已安装此漏洞补丁900台计算,也就是说现在全网至少有90%的Serv-U处于受此漏洞威胁状态(Serv-U母公司应该是出于商业考虑未对大量存在的老版本发布补丁,老版本升级到最新版本需要再次付费)。

Banner信息


三、漏洞分析与利用说明

综述

该漏洞是一个远程内存破坏漏洞(可以稳定控制虚函数指针),针对WINDOWS版Serv-U SFTP(22端口)进行攻击,该漏洞无需任何账号和密码,输入IP和端口即可成功攻击,只要版本低于15.2.3.742,成功率接近100%(单次成功率达不到100%,但可以立即再次攻击),利用成功获取SYSTEM权限SHELL。

3.1补丁比较

下载最新版本742和上一版本723,补丁包文件如下

15.2.3.723 hf1 5/14/2021

Serv-U crashes due to incorrect OpenSSL API usage

<Serv-U-InstallDir>\Serv-U.dll

<Serv-U-InstallDir>\RhinoNET.dll

15.2.3.742 hf2 7/12/2021

* Unauthenticated Remote Code Execution in SSH protocol

* <Serv-U-InstallDir>\Serv-U-RES.dll

* <Serv-U-InstallDir>\Serv-U-Tray.exe

* <Serv-U-InstallDir>\Serv-U.dll

* <Serv-U-InstallDir>\Serv-U.exe

可以看到主要修改了4个文件,使用Bindiff依次对这4个文件进行比较,最终可以排除掉Serv-U.exe、Serv-U-Tray.exe和Serv-U-RES.dll,因为这三个文件改动非常小,基本上不可能存在漏洞。

同时结合官方的报告,APT攻击中利用该漏洞可能会报如下错误:

EXCEPTION: C0000005;

CSUSSHSocket::ProcessReceive();

Type: 30;

puchPayLoad = 0x041ec066;

nPacketLength = 76;

nBytesReceived = 80;

nBytesUncompressed = 156;

uchPaddingLength = 5

基本可以判断该漏洞是一个SSH相关的内存型漏洞。
使用BINDIFF和IDA对主DLL的补丁情况比较如下:

左边为未补丁变化的函数地址,右边为补丁后的函数地址

对Serv-U.dll中的十余个有变化的函数逐个分析,排除掉4个比较错误的函数,一共有9个函数发生变化,发现补丁为某些函数添加了硬编码的判断与赋值,比如,判断某个值198h是否为0、1、2、3、4或5等,或者给198h赋值为0、1、2、3、4或5等。

此时,需要配合IDA尝试理解这些值的含义,首先定位到该值存储的位置,可以看到该值被存储到a1[0x198]。

然后二进制搜索0x198,找到该值被读写的所有位置。

遗憾的是,即使知道了补丁补的位置与代码,也很难揣测补丁的最终意图。于是另辟蹊径,从打过补丁的函数一直向上回溯,依次记录分析,发现函数sub_180145070会引用所有打过补丁的函数。

其它几个变化的函数主要是该函数的switch case分支里调用的函数,下面我们具体分析该函数,该函数其实是RhinoNET!CRhinoSocket::ProcessReceiveBuffer,通过命名可以猜到是用于处理收到的数据BUF,在该函数入口点下断:

180145070的调用栈如下:

RhinoNET!CRhinoSocket::OnReceive+0x170

mfc140u!CWnd::OnWndMsg+0xba9

mfc140u!CWnd::WindowProc+0x3f

mfc140u!AfxCallWndProc+0x123

mfc140u!AfxWndProc+0x54

mfc140u!AfxWndProcBase+0x49

USER32!UserCallWinProcCheckWow+0x1ad

USER32!DispatchMessageWorke+0x3b5

Serv_U_180000000!CUPnPNotifyEvent::SetTimeout+0x30d85

Serv_U_180000000!CUPnPNotifyEvent::SetTimeout+0x30dfd

ucrtbase!crt_at_quick_exit+0x7d

kernel32!BaseThreadInitThunk+0xd

ntdll!RtlUserThreadStart+0x1d


仔细观察该函数的结构,一个外部大循环加内部的switch..case,明显是某种协议的实现,配合关键字符串SSH_MSG_IGNORE,不难得出结论:
函数sub_180145070实现了部分或完整的SSH握手协议。

通过调试可知,该函数主要用于处理SSH消息,依次处理的MSG消息如下:

180145070依次处理的MSG(10进制)

20  SSH_MSG_KEXINIT

30  SSH_MSG_ECDH key exchange init !   CASE 28

21  SSH_MSG_NEWKEYS

5   SSH_MSG_SERVICE_REQUEST

50  SSH_MSG_USERAUTH_REQUEST

90  SSH_MSG_CHANNEL_OPEN

98  SSH_MSG_CHANNEL_REQUEST

94  SSH_MSG_CHANNEL_DATA

比如上图中:switch(v21)中v21就是SSH协议中的消息码,标识了消息类型。

通过此文档可查到相关SFTP协议的规范

补丁后的程序,主要修补了20,30,21三个MSG,其中在这些MSG中处理CLIENT支持的SSH加密算法处多调用了SSH库578,530和538函数做检查(EVP_aes_128_ctr,EVP_EncryptInit_ex和EVP_DecryptInit_ex)

同时通过调试可知,修补后的程序,对MSG序列的顺序做了限制!

补丁比较后基本判断该漏洞是一个SSH协议握手阶段的逻辑处理出错,进而造成的内存处理出错,那么通过补丁比较就找不到传统内存溢出型漏洞补丁一般会对COPY长度做限制的地方,要复现这个漏洞就需要对Serv-U的SSH握手过程进行FUZZER。

3.2 FUZZER SSH握手过程

有了上述的信息,便可以写一个发包FUZZ脚本(不断生成消息码去测试),通过模拟SSH握手阶段的数据交换来模糊测试Serv-U服务器15.2.3.723。

脚本运行一段时间后,得到了一个崩溃,通过分析该崩溃可以确认我们发送完20号消息后,不发送30号MSG,直接发送21号消息,是造成Serv-U崩溃的原因,打上补丁后不会产生该问题。那么说明很可能找到了漏洞点。

同时该漏洞大概率能够利用,因为Serv-U.dll没有开启ASLR,而我们拥有控制EIP的能力,所以配合ROP便可以远程执行代码了。

如下图,可以看到被调用的函数指针被覆盖为了AAAAAA……,也就是我们可以利用可控的数据覆盖一个虚函数指针,从而控制函数执行流程以执行我们的ShellCode。

崩溃时的调用栈如下:

崩溃的最终位置并不在Serv-U.dll里,而是在libeay32.dll,这个动态链接库是OpenSSL用于加解密的一个组件。通过跟踪调试,发现握手数据AAAAAA…的最后8字节数据被libeay32.dll错误地当作函数指针来调用,从而触发了崩溃。

定位崩溃时发送的数据包,发现该数据包打乱了SSH正常的通信过程(握手包乱序),所以补丁中的硬编码值0、1、2、3、4、5等是为限制了数据包的发送顺序,即发送了包MSG 20之后只能发包MSG 30,以此缓解该漏洞。


3.3 漏洞利用

通过分析发包流程和Serv-U的SSH通信处理过程便得知,该漏洞的成因为Serv-U的SSH通信处理流程乱序导致的内存未初始化漏洞。通过网络数据包列举漏洞触发原理及过程如下:

  • SSH通信正常的处理过程为

密钥交换初始化(申请N字节内存,每个版本可能不同);

密钥协商算法交换参数,比如ECDH(填充N字节内存:在内存块内填充函数地址等);

加解密数据(调用N字节内存中的函数地址)

  • 触发漏洞的过程为

密钥交换初始化(申请N字节内存);

加解密数据(调用N字节内存中的函数地址);

可以看到漏洞触发过程省略了ECDH密钥交换协商这一步。并且在第一步申请N字节时并未初始化内存。

  • 漏洞触发利用过程

发包占坑布局N字节内存空间,并释放;

密钥交换初始化(申请N字节内存,该内存内容已被提前布局)

加解密数据触发漏洞(由于缺少了密钥协商设置N字节内存块内函数指针这一步,所以会调用N字节内存中已被提前布局的函数地址);

  • 漏洞补丁原理

漏洞补丁限制了SSH通信过程,所以不会再导致内存中函数指针被攻击者提前布局并利用的情况。

通过分析该崩溃,确定了该漏洞大概率能够利用,因为Serv-U.dll并没有开启ASLR,为我们提供了用于布置ROP链的必要条件。除此之外,上述崩溃的位置在CALL指令处,这使得我们大概率可以控制EIP。当同时拥有以上两种能力后,就可以控制程序跳转到布置好的ROP链上执行预先指定的代码。

虽然Serv-U.dll中没有导入VirtualProtect函数,但是它导入了另外一个能够执行代码的函数ShellExecuteExW,所以目标就是构造ROP链传入指定参数执行ShellExecuteExW。

首先使用capstone编写小工具提取ROP,获取所需指令的地址。

然后拼接这些指令,达到执行ShellExecuteExW的目标,具体步骤是:切换栈+布局参数+调用函数。

切换栈是第一步,但非常简单,使用xchg、pop、mov以及lea等指令修改rsp即可。布局参数是整个过程中最难的,因为函数ShellExecuteExW只有一个参数,该参数为一个结构体指针,而结构体内部的字符串指针才是执行命令的核心,所以这里涉及到多级指针的布控。由于我们控制了整个栈,所以布置多级指针的也并不难,但步骤比较繁琐,容易出错,一定要耐心谨慎。

参数布置好之后,再次控制EIP跳转到导入表内的函数指针执行。一旦函数ShellExecuteExW执行完毕,就代表着用户指定的命令也已经执行完毕,但由于栈已经损坏,主程序将随之崩溃。

如果不利用ShellExecuteExW也可以利用下图所示位置的代码,自行获得VirtualProtect函数地址:
(上图地址DLL版本为15.2.3.723)

四、现有补丁说明

截止9月10日,发布的补丁情况如下:

版本号发布时间有无漏洞
<15.2.3.717----
15.2.3.7172021/04/20
15.2.3.723 hf12021/05/14
15.2.3.742 hf22021/07/12无(最新版)

五、漏洞利用工具说明

5.1 受影响软件版本

SSH-2.0-Serv-U_15.1.6.25至SSH-2.0-Serv-U_15.2.3.723

备注:SSH-2.0-Serv-U_15.1.6.25版本为2017年发布,更早的版本肯定也受影响,只不过当前测试的最早版本为2017年。SSH-2.0-Serv-U_15.2.3.723版本为最新的补丁版本的前一个版本。

5.2 远程利用限制条件

Serv-U需要以服务方式启动才能利用成功,不过Serv-U默认安装本来就是以服务方式启动的。如果以非服务方式启动则无法利用成功。

5.3 远程利用执行演示效果及特殊情况说明

  • 利用成功后,目标机器的Serv-U.exe程序会执行我们的ShellCode代码,并且启动一个PowerShell子进程(父进程为Serv-U.exe),并通过PowerShell脚本回连我们设置的IP和端口,获取的SHELL权限为SYSTEM权限;
  • ShellCode代码启动的程序和执行的程序命令可以通过修改攻击脚本自行设定;
  • 上述第2点提到的ShellCode执行的程序命令有长度限制,不能超过500个字节;
  • 如果利用成功,Serv-U.exe程序会崩溃并自动重启(不会弹框,因为是服务方式启动所以会自动重启),所以可以无限次反复远程利用;
  • 如果利用失败,攻击脚本执行完后稍等十秒再进行下一次攻击,直到成功为止;
  • 每次的攻击成功率大概在20-50%;
  • 单次攻击发出的网络数据包大小在2-3M左右,注意网络情况;
  • 每个Serv-U版本需要有对应的ROP序列,所以每一个单独的小版本的Serv-U都需要定制化开发对应的攻击代码(程序有DEP,但关键DLL无ASLR)。
  • 本文仅作安全技术分析,旨在为无法获得补丁的用户和安全研究人员提供此漏洞细节分析,所以不提供任何POC。

参考链接

[1]https://www.microsoft.com/security/blog/2021/07/13/microsoft-discovers-threat-actor-targeting-solarwinds-serv-u-software-with-0-day-exploit/
[2]https://www.solarwinds.com/trust-center/security-advisories/cve-2021-35211
[3]https://support.solarwinds.com/SuccessCenter/s/article/Serv-U-15-2-3-HotFix-2?language=en_US

本文作者:, 转载请注明来自FreeBuf.COM

# 漏洞分析
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦
收入专辑