欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

PaloAlto远程命令执行漏洞关键技术分析终篇

来源:本站整理 作者:佚名 时间:2018-03-08 TAG: 我要投稿

这篇文章是对Palo Alto防火墙产品未授权远程代码执行漏洞(CVE-2017-15944 )中SESSION设置、任意目录创建、命令执行漏洞的技术分析。之前对该漏洞认证绕过部分进行了介绍,这篇文章是该漏洞的后续部分。
(一)SESSION设置
在认证绕过漏洞中,需要通过访问https://ip/esp/cms_changeDeviceContext.esp来设置SESSION中的user变量。在cms_changeDeviceContext.esp中,调用了panUserSetDeviceLocation($_SESSION['user'], $_GET['device'], 0, new php_string_argout()),这个函数的实现在/usr/lib/php/modules/panmodule.so中。下面通过调试该函数,来分析SESSION变量的设置。访问https://ip/esp/cms_changeDeviceContext.esp?device=4096:aaaaaaaa:bbbbbbbb,进入panUserSetDeviceLocation函数:

1、deviceStr指针指向的字符串就是传入的URL参数device的值:”4096:aaaaaaaa:bbbbbbbb”
2、调用panPhpConvertStringToLoc(char* deviceStr, pan_swal_config_loc_t* pLoc)函数,将deviceStr进行处理后存储在pLoc中,处理的主要逻辑如下:

1) 寻找第一个’:'字符,将第一个’:'之前的字符串按照十进制转化为整数dNumber;
2)寻找第二个’:'字符,将第一个’:'与第二个’:'之间的字符串deviceName(多余20h个,自动截断)复制在4-24h字节处;
3)寻找第三个’:'字符,将第二个’:'与第三个’:'之间的字符串str2(多余20h个,自动截断)复制在24h-44h字节处;
4)如果有,继续寻找后面’:'字符,将第n个’:'与第n+1个’:'之间的字符串strn(多余20h个,自动截断)复制在24h-44h字节处,覆盖原来的数据最后pLoc的结构如下:

3、调用panPhpSetDeviceForSession(pan_char_t *cookie, pan_char_t *devName, pan_char_t *errMsgBuf, pan_uint32_t bufSize)函数,参数devName字符串就是pLoc结构中的devName字符串,在该输入中,为”aaaaaaaa”。panPhpSetDeviceForSession调用panPhpSetDeviceAndVsysForSession(pan_char_t *cookie, pan_char_t *devName, pan_char_t *vsysName, pan_char_t *errMsgBuf, pan_uint32_t bufSize),参数devName字符串就是pLoc结构中的devName字符串,在该输入中为”aaaaaaaa”;参数vsysName字符串为“vsys1”。
panPhpSetDeviceAndVsysForSession的关键处理逻辑如下:
1)调用panPhpConvertLocToString,返回“8:aaaaaaaa”
2)通过panPhpSetSessionVar函数,将session变量dloc设置为“8:aaaaaaaa”
3)通过panPhpSetSessionVar函数,将session变量loc设置为“16:aaaaaaaa:vsys1”

4、根据上述分析,如果像上篇文章(http://www.freebuf.com/articles/es/159119.html)一样,输入https://ip/esp/cms_changeDeviceContext.esp ?device=aaaa:bbbb’”;user|s: ,则dloc的数值为 8:bbbb’”;user|s,loc的数值为16:bbbb’”;user|s:vsys1,读取的session的数值为 dloc|s:15:8:bbbb’”;user|s”;loc|s:22:”16:bbbb’”;user|s:vsys1″;
(二)任意目录创建
向https://ip/php/utils/router.php/Administrator.get利用POST方式提交如下数据:
{"action":"PanDirect","method":"execute","data":["07c5807d0d927dcd0980f86024e5208b","Administrator.get",{"changeMyPassword":true,"template":"asd","id":"admin']\"        async-mode='yes' refresh='yes' cookie='../../../../../../tmp/hacked'/>\u0000"}],"type":"rpc","tid":713}
会创建/tmp/hacked文件,下面对原理进行分析:
1、router.php文件中定义了ExtDirect_Router类,该类继承自RouterAbstract
2、router.php新建ExtDirect_Router对象,并依次调用getResponse()=>>dispatch(),在dispatch中对POST提交的数据进行JSON处理,收到的POST数据为:
{"action":"PanDirect","method":"execute","data":["07c5807d0d927dcd0980f86024e5208b","Administrator.get",{"changeMyPassword":true,"template":"asd","id":"admin']\"        async-mode='yes' refresh='yes' cookie='../../../../../../tmp/hacked'/>\u0000"}],"type":"rpc","tid":713}
处理之后赋值给request变量,requet变量的数值如下:

3、将request变量提交给rpc($request)函数,在rpc函数中通过call_user_func_array(array($instance,$method), $params)调用PanDirect->execute($params)

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载