黑白中移 ( 杭州 ) 信息技术有限公司安全产品部第 10 期 2016/10/14 新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞漏洞介绍 Oracle MySQL 是美国甲骨文 (Oracle) 公司的一套开源的关系数据库管理系统 MySQL malloc_lib 变量

Size: px

Start display at page:

Download "黑白中移 ( 杭州 ) 信息技术有限公司安全产品部第 10 期 2016/10/14 新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞漏洞介绍 Oracle MySQL 是美国甲骨文 (Oracle) 公司的一套开源的关系数据库管理系统 MySQL malloc_lib 变量"

縻左
5 years ago
Views:

1 [ 黑白 ] 宗旨 : 知黑行白了解安全资讯, 学习黑客技术不是为了破坏而是为了保护第 10 期 2016/10/14 本期导读新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞 Apple ios/safari/tvos WebKit 内存破坏漏洞黑客大白 Struts2 S2-032 远程代码执行漏洞安全产品部宣

2 黑白中移 ( 杭州 ) 信息技术有限公司安全产品部第 10 期 2016/10/14 新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞漏洞介绍 Oracle MySQL 是美国甲骨文 (Oracle) 公司的一套开源的关系数据库管理系统 MySQL malloc_lib 变量存在重写命令执行漏洞远程和本地的攻击者均可利用漏洞以 ROOT 权限执行代码, 完全控制 MySQL 数据库攻击者仅需有 FILE 权限即可实现 ROOT 提权, 进而控制服务器影响范围 Oracle MySQL <=5.7.15,Oracle MySQL <=5.6.33,Oracle MySQL <= 修复措施目前厂商还未提供修复补丁 Apple ios/safari/tvos WebKit 内存破坏漏洞漏洞介绍 Apple ios Safari 和 tvos 都是美国苹果 (Apple) 公司的产品 Apple ios 10 之前的版本 Safari 10 之前的版本和 tvos 10 之前的版本中的 WebKit 中存在内存破坏漏洞, 远程攻击者可借助特制的网站, 利用该漏洞执行任意代码或造成拒绝服务 ( 内存破坏 ) 影响范围 Apple IOS <10,Apple tvos <10,Apple Safari <10 修复措施目前厂商已经发布了升级补丁, 请到官网下载并修复此安全问题

3 黑客大白 Struts2 (S2-032) 漏洞的攻击与防御概述 Struts2 是一个基于 MVC 设计模式的 Web 应用框架, 是主要的 Web 应用开发框架之一, 但是却频频爆出远程代码执行漏洞 ( 如 :S2-016,S2-032,S2-033,S2-037 等等 ) 产生漏洞的主要原因是对于用户传入的参数未做有效处理, 导致传入的参数被作为 OGNL 表达式执行 Struts 漏洞的原理自 2012 年 Struts 远程代码执行漏洞大规模爆发以来, 时隔四年之后 Struts 远程代码执行漏洞再次大规模爆发, 著名的漏洞开放平台乌云直接被刷屏下面我们将带你去揭开当前这位炽手可热的网红 (Struts 漏洞 ) 的神秘面纱, 看她今年又爆出了哪些绯闻自 2016 年 4 月份以来,Struts2 接连爆出 S2-032 S2-033 和 S2-037 远程代码执行漏洞, 而引起漏洞的原因是在使用 setmethod 和 getvalue 函数时未对 method 的属性进行处理导致的下面我们以 Struts2 的 S2-032 漏洞为例来研究漏洞的起因及攻击过程 : 首先, 如果 S2-032 漏洞想要利用成功, 必须有一个前提条件需要我们在 struts.xml 中开启动态调用方法的属性, 具体方法如下图所示 : 假如动态方法调用已经开启, 然后我们要调用 Action:index 对应的方法 login, 我们可以通过来执行动态的方法调用这种动态方法调用的时候 method 中的特殊字符都会被替换成空, 但是可以通过来绕过无法传入特殊字符的限制具体利用方式, 我们将在 eclipse 中通过源码跟踪来获取 OGNL 表达式的注入和执行的过程在 Struts 框架中, 当客户端发送一个请求后, 如果在 Struts 配置文件中开启了动态方法, 那么控制器通过 ActionMapper 获得 Action 的信息, 并将接受后的参数经过处理后存储在 ActionMapping 的 method 属性中具体的实现是通过 DefaultActionMapper.java 中的 DefaultActionMapper 方法中的 mapping.setmethod() 实现的

随后 DefaultActionProxyFactory 会将 ActionMappping 的 method 属性设置到 ActionProxy

java 中会把 ActionProxy 中的 method 属性取出来放入到 ognlutil.

getcontext(), action) 方法中并执行 ognl 表达式实战演练下面是一段获取磁盘目录的代码 : 为了看的更加清楚,

4 随后 DefaultActionProxyFactory 会将 ActionMappping 的 method 属性设置到 ActionProxy 中的 method 属性中接下来 DefaultActionInvocation.java 中会把 ActionProxy 中的 method 属性取出来放入到 ognlutil.getvalue(methodname + (), getstack().getcontext(), action) 方法中并执行 ognl 表达式实战演练下面是一段获取磁盘目录的代码 : 为了看的更加清楚, 我们进行 URL 解码 : 在上面的 payload 代码中, 攻击者通过 getrealpath 获取磁盘目录, 然后通过 print 函数将内容打印在响应 html 页面中 Payload 在 OGNL 中是用来引用进行类静态方法和值的访问, 类全名 ( 包括路径 )]@[ 方法名值名 ]

execute 时产生了异常, 当 devmode 为 true 时就会执行 senderror 方法将异常打印到应用的 html 页面中

5 在 URL 中注入 payload, 并没有出现磁盘目录, 而是一大堆的异常提示在 debug 模式下单步调试下我们发现当执行到 org.apache.struts2.dispatcher. Dispatcher.java 中 serviceaction 的 proxy.execute 时产生了异常, 当 devmode 为 true 时就会执行 senderror 方法将异常打印到应用的 html 页面中知道了是由于开启了 devmode 引起的问题后就容易了, 我们只需要将 struts.xml 文件中的 devmode 设为 false 就可以了, 详细内容见下图

的 S2-032 漏洞攻击原理并成功利用之后, 你可能要问一个问题 : 既然 S2-032 危害那么大, 那采用 Struts2

3.20.2 2.3.24.2 以外 ), 官方建议升级版本到 2.3.20.2 2.3.24.2 和 2.3.28.1 那我们就来看一下 2.3.28 和 2.

6 struts.xml 文件修改后我们再重新运行一下, 发现磁盘的目录显示在了响应的 html 页面中,S2-032 漏洞利用成功防御方法在理解了 Struts2 的 S2-032 漏洞攻击原理并成功利用之后, 你可能要问一个问题 : 既然 S2-032 危害那么大, 那采用 Struts2 框架的网站应该如何防范这种攻击手段呢? 对 S2-032 漏洞有一定了解的朋友应该知道, 该漏洞的影响版本为 Struts ( 除以外 ), 官方建议升级版本到和那我们就来看一下和有什么区别我们通过对比和版本的 DefaultActionMapper 发现在 setmethod 方法中使用了 cleanupactionname 函数接下来, 我们来看一下 cleanupactionname 函数有什么作用

通过分析 cleanupactionname 函数源码我们发现 : cleanupactionname 函数利用 allowedacrionnames.matcher(rawactionname).match() 对传入的 method 属性进行了正则表达式匹配, 一旦存在 # @ 等特殊字符就会抛出异常 Struts2.3.28.

7 通过分析 cleanupactionname 函数源码我们发现 : cleanupactionname 函数利用 allowedacrionnames.matcher(rawactionname).match() 对传入的 method 属性进行了正则表达式匹配, 一旦存在等特殊字符就会抛出异常 Struts 通过上述的方式成功修补了 S2-032 漏洞, 但上面的解决方法只能从表面解决问题, 但不能从根本上解决问题不久之后就爆出了 S2-033 漏洞, 为什么出现这样的情况呢? 原来是由于当开启动态方法调用时, Struts 的 Rest 插件中的 RestActionMapper.java 中并没有对 setmethod 传入的参数进行过滤最后官方意识到只有限制住 DefaultActionInvocation.java 的 invokeaction 函数中 getvalue 的内容, 才可以避免这样的问题再次发生下面是 Struts 和 Struts 的源码对比通过上面的对比能够发现 Struts 将之前的 ognlutil.getvalue 替换成了 ognlutil.callmethod ognlutil.getvalue 与 ognlutil.callmethod 有什么区别呢? 我们接着往下

8 看通过上面的对比我们发现他们分别使用了 compileandexcute 和 compileandexcutemethod 接下来我们再来比较这两个函数通过对比上面的两个方法我们发现,compileAndExcuteMethod 比 compileandexcute 多进行了一次 checksimplemethod 方法进一步跟踪我们发现 checksimplemethod 方法调用了 issimplemethod 方法来判断 OGNL 表达式是否之调用了一个方法, 从而避免多个表达式的执行安全产品部宣责任编辑 : 晁巍供稿 : 袁勇

臺銀人壽「98年九至十一職等人員甄試」

臺銀人壽「98年九至十一職等人員甄試」桃園大眾捷運公司 104 年度新進人員甄試簡章執行單位 : 銘傳大學地址 : 台北市士林區中山北路五段 250 號電話 :(02)28809748 服務時間 : 週一至週五 8:10~17:00 E-mail:pr@mail.mcu.edu.tw 中華民國 104 年 5 年 1 日公告關於桃

黑 白 中移 ( 杭州 ) 信息技术有限公司 安全产品部第 10 期 2016/10/14 新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞 漏洞介绍 Oracle MySQL 是美国甲骨文 (Oracle) 公司的一套开源的关系数据库管理系统 MySQL malloc_lib 变量

黑白中移 ( 杭州 ) 信息技术有限公司安全产品部第 10 期 2016/10/14 新型漏洞 MySQL malloc_lib 变量重写命令执行漏洞漏洞介绍 Oracle MySQL 是美国甲骨文 (Oracle) 公司的一套开源的关系数据库管理系统 MySQL malloc_lib 变量