WHCSRL 技术网

网络安全漏洞深度剖析

一、漏洞背景

2021年7月13日,美国微软威胁情报中心发布安全公告[1],文中指出黑客利用Serv-U 0day对极少数美国军工部门成功进行了攻击,同日Serv-U母公司solarwinds也发布安全公告[2],并针对最新大版本发布了补丁[3]。

(注意:目前发布的补丁只针对最新的15.2.3大版本,且只能是付费用户才能下载安装补丁,非付费用户目前无法从官方渠道获取有效补丁。)

根据补丁比较和fuzzer,宁静之盾安全团队成功复现了该远程溢出漏洞,并能在实战环境下成功利用。

截至9月10日,互联网上未发现任何有关该漏洞的技术分析和POC发布,也未发现更多新闻细节公布。

该漏洞是2003年Serv-U mdtm漏洞修补后出现的第一个RCE漏洞。

为了感谢广大读者伙伴的支持,准备了以下福利给到大家:

[一>获取<一]

1、200多本网络安全系列电子书(该有的都有了)

2、全套工具包(最全中文版,想用哪个用哪个)

3、100份src源码技术文档(项目学习不停,实践得真知)

4、网络安全基础入门、Linux、web安全、攻防方面的视频(2021最新版)

6、 网络安全学习路线(告别不入流的学习)

7、ctf夺旗赛解析(题目解析实战操作)
[一>获取<一]

二、Serv-U软件说明

该软件是全球流行的商业闭源FTP服务器端软件,官方资料显示该软件全球有超过10W用户,软件默认支持ftp(21端口)/sftp(22端口)等,出于安全性考虑现在大部分使用的是sftp端口(流量使用非对称算法加密),主要运行在windows平台,新版本为X64程序,该软件22端口默认banner信息含有详细版本号,通过zoomeye搜索显示近一年IP量为13000个(全量为6.7W多)。

image.png

其中15.2.3大版本有1100台,最新补丁版本15.2.3.742有900台,该漏洞影响范围是Serv-U 版本 < 15.2.3 HF2(即15.2.3.742)。按照近一年存活13000台,已安装此漏洞补丁900台计算,也就是说现在全网至少有90%%%%的Serv-U处于受此漏洞威胁状态(Serv-U母公司应该是出于商业考虑未对大量存在的老版本发布补丁,老版本升级到最新版本需要再次付费)。

image.png

image.png

Banner信息

三、漏洞分析与利用说明

综述

该漏洞是一个远程内存破坏漏洞(可以稳定控制虚函数指针),针对WINDOWS版Serv-U SFTP(22端口)进行攻击,该漏洞无需任何账号和密码,输入IP和端口即可成功攻击,只要版本低于15.2.3.742,成功率接近100%%%%(单次成功率达不到100%%%%,但可以立即再次攻击),利用成功获取SYSTEM权限SHELL。

image.png

3.1补丁比较

下载最新版本742和上一版本723,补丁包文件如下

> 15.2.3.723 hf1 5/14/2021
> 
> Serv-U crashes due to incorrect OpenSSL API usage
> 
> <Serv-U-InstallDir>Serv-U.dll
> 
> <Serv-U-InstallDir>RhinoNET.dll
> 
> 15.2.3.742 hf2 7/12/2021
> 
> * Unauthenticated Remote Code Execution in SSH protocol
> 
> * <Serv-U-InstallDir>Serv-U-RES.dll
> 
> * <Serv-U-InstallDir>Serv-U-Tray.exe
> 
> * <Serv-U-InstallDir>Serv-U.dll
> 
> * <Serv-U-InstallDir>Serv-U.exe
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19

image.png

可以看到主要修改了4个文件,使用Bindiff依次对这4个文件进行比较,最终可以排除掉Serv-U.exe、Serv-U-Tray.exe和Serv-U-RES.dll,因为这三个文件改动非常小,基本上不可能存在漏洞。

image.png

同时结合官方的报告,APT攻击中利用该漏洞可能会报如下错误:

> EXCEPTION: C0000005;
> 
> CSUSSHSocket::ProcessReceive();
> 
> Type: 30;
> 
> puchPayLoad = 0x041ec066;
> 
> nPacketLength = 76;
> 
> nBytesReceived = 80;
> 
> nBytesUncompressed = 156;
> 
> uchPaddingLength = 5
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15

基本可以判断该漏洞是一个SSH相关的内存型漏洞。
使用BINDIFF和IDA对主DLL的补丁情况比较如下:

image.png

左边为未补丁变化的函数地址,右边为补丁后的函数地址

image.png

对Serv-U.dll中的十余个有变化的函数逐个分析,排除掉4个比较错误的函数,一共有9个函数发生变化,发现补丁为某些函数添加了硬编码的判断与赋值,比如,判断某个值198h是否为0、1、2、3、4或5等,或者给198h赋值为0、1、2、3、4或5等。

image.png

此时,需要配合IDA尝试理解这些值的含义,首先定位到该值存储的位置,可以看到该值被存储到a1[0x198]。

image.png

然后二进制搜索0x198,找到该值被读写的所有位置。

image.png

遗憾的是,即使知道了补丁补的位置与代码,也很难揣测补丁的最终意图。于是另辟蹊径,从打过补丁的函数一直向上回溯,依次记录分析,发现函数sub_180145070会引用所有打过补丁的函数。

其它几个变化的函数主要是该函数的switch case分支里调用的函数,下面我们具体分析该函数,该函数其实是RhinoNET!CRhinoSocket::ProcessReceiveBuffer,通过命名可以猜到是用于处理收到的数据BUF,在该函数入口点下断:

image.png

180145070的调用栈如下:

RhinoNET!CRhinoSocket::OnReceive+0x170

mfc140u!CWnd::OnWndMsg+0xba9

mfc140u!CWnd::WindowProc+0x3f

mfc140u!AfxCallWndProc+0x123

mfc140u!AfxWndProc+0x54

mfc140u!AfxWndProcBase+0x49

USER32!UserCallWinProcCheckWow+0x1ad

USER32!DispatchMessageWorke+0x3b5

Serv_U_180000000!CUPnPNotifyEvent::SetTimeout+0x30d85

Serv_U_180000000!CUPnPNotifyEvent::SetTimeout+0x30dfd

ucrtbase!crt_at_quick_exit+0x7d

kernel32!BaseThreadInitThunk+0xd

ntdll!RtlUserThreadStart+0x1d

仔细观察该函数的结构,一个外部大循环加内部的switch…case,明显是某种协议的实现,配合关键字符串SSH_MSG_IGNORE,不难得出结论:
函数sub_180145070实现了部分或完整的SSH握手协议。

image.png

通过调试可知,该函数主要用于处理SSH消息,依次处理的MSG消息如下:

> 180145070依次处理的MSG(10进制)
> 
> 20  SSH_MSG_KEXINIT
> 
> 30  SSH_MSG_ECDH key exchange init !   CASE 28
> 
> 21  SSH_MSG_NEWKEYS
> 
> 5   SSH_MSG_SERVICE_REQUEST
> 
> 50  SSH_MSG_USERAUTH_REQUEST
> 
> 90  SSH_MSG_CHANNEL_OPEN
> 
> 98  SSH_MSG_CHANNEL_REQUEST
> 
> 94  SSH_MSG_CHANNEL_DATA
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17

比如上图中:switch(v21)中v21就是SSH协议中的消息码,标识了消息类型。

image.png

通过此文档可查到相关SFTP协议的规范

补丁后的程序,主要修补了20,30,21三个MSG,其中在这些MSG中处理CLIENT支持的SSH加密算法处多调用了SSH库578,530和538函数做检查(EVP_aes_128_ctr,EVP_EncryptInit_ex和EVP_DecryptInit_ex)

同时通过调试可知,修补后的程序,对MSG序列的顺序做了限制!

补丁比较后基本判断该漏洞是一个SSH协议握手阶段的逻辑处理出错,进而造成的内存处理出错,那么通过补丁比较就找不到传统内存溢出型漏洞补丁一般会对COPY长度做限制的地方,要复现这个漏洞就需要对Serv-U的SSH握手过程进行FUZZER。

3.2 FUZZER SSH握手过程

有了上述的信息,便可以写一个发包FUZZ脚本(不断生成消息码去测试),通过模拟SSH握手阶段的数据交换来模糊测试Serv-U服务器15.2.3.723。

image.png

脚本运行一段时间后,得到了一个崩溃,通过分析该崩溃可以确认我们发送完20号消息后,不发送30号MSG,直接发送21号消息,是造成Serv-U崩溃的原因,打上补丁后不会产生该问题。那么说明很可能找到了漏洞点。

同时该漏洞大概率能够利用,因为Serv-U.dll没有开启ASLR,而我们拥有控制EIP的能力,所以配合ROP便可以远程执行代码了。

如下图,可以看到被调用的函数指针被覆盖为了AAAAAA……,也就是我们可以利用可控的数据覆盖一个虚函数指针,从而控制函数执行流程以执行我们的ShellCode。

image.png

崩溃时的调用栈如下:

image.png

崩溃的最终位置并不在Serv-U.dll里,而是在libeay32.dll,这个动态链接库是OpenSSL用于加解密的一个组件。通过跟踪调试,发现握手数据AAAAAA…的最后8字节数据被libeay32.dll错误地当作函数指针来调用,从而触发了崩溃。

image.png

定位崩溃时发送的数据包,发现该数据包打乱了SSH正常的通信过程(握手包乱序),所以补丁中的硬编码值0、1、2、3、4、5等是为限制了数据包的发送顺序,即发送了包MSG 20之后只能发包MSG 30,以此缓解该漏洞。

3.3 漏洞利用

通过分析发包流程和Serv-U的SSH通信处理过程便得知,该**漏洞的成因为Serv-U的SSH通信处理流程乱序导致的内存未初始化漏洞。**通过网络数据包列举漏洞触发原理及过程如下:

  • SSH通信正常的处理过程为

密钥交换初始化(申请N字节内存,每个版本可能不同);

密钥协商算法交换参数,比如ECDH(填充N字节内存:在内存块内填充函数地址等);

加解密数据(调用N字节内存中的函数地址)

image.png

  • 触发漏洞的过程为

密钥交换初始化(申请N字节内存);

加解密数据(调用N字节内存中的函数地址);

可以看到漏洞触发过程省略了ECDH密钥交换协商这一步。并且在第一步申请N字节时并未初始化内存。

image.png

  • 漏洞触发利用过程

发包占坑布局N字节内存空间,并释放;

密钥交换初始化(申请N字节内存,该内存内容已被提前布局)

加解密数据触发漏洞**(由于缺少了密钥协商设置N字节内存块内函数指针这一步,所以会调用N字节内存中已被提前布局的函数地址);**

image.png

  • 漏洞补丁原理

漏洞补丁限制了SSH通信过程,所以不会再导致内存中函数指针被攻击者提前布局并利用的情况。

通过分析该崩溃,确定了该漏洞大概率能够利用,因为Serv-U.dll并没有开启ASLR,为我们提供了用于布置ROP链的必要条件。除此之外,上述崩溃的位置在CALL指令处,这使得我们大概率可以控制EIP。当同时拥有以上两种能力后,就可以控制程序跳转到布置好的ROP链上执行预先指定的代码。

image.png

虽然Serv-U.dll中没有导入VirtualProtect函数,但是它导入了另外一个能够执行代码的函数ShellExecuteExW,所以目标就是构造ROP链传入指定参数执行ShellExecuteExW。

image.png

首先使用capstone编写小工具提取ROP,获取所需指令的地址。

image.png

然后拼接这些指令,达到执行ShellExecuteExW的目标,具体步骤是:切换栈+布局参数+调用函数。

image.png

切换栈是第一步,但非常简单,使用xchg、pop、mov以及lea等指令修改rsp即可。布局参数是整个过程中最难的,因为函数ShellExecuteExW只有一个参数,该参数为一个结构体指针,而结构体内部的字符串指针才是执行命令的核心,所以这里涉及到多级指针的布控。由于我们控制了整个栈,所以布置多级指针的也并不难,但步骤比较繁琐,容易出错,一定要耐心谨慎。

image.png

参数布置好之后,再次控制EIP跳转到导入表内的函数指针执行。一旦函数ShellExecuteExW执行完毕,就代表着用户指定的命令也已经执行完毕,但由于栈已经损坏,主程序将随之崩溃。

如果不利用ShellExecuteExW也可以利用下图所示位置的代码,自行获得VirtualProtect函数地址:

image.png

(上图地址DLL版本为15.2.3.723)

四、现有补丁说明

截止9月10日,发布的补丁情况如下:

| 版本号 | 发布时间 | 有无漏洞 |
| <15.2.3.717 | ---- | 有 |
| 15.2.3.717 | 2021/04/20 | 有 |
| 15.2.3.723 hf1 | 2021/05/14 | 有 |
| 15.2.3.742 hf2 | 2021/07/12 | 无(最新版) |

五、漏洞利用工具说明

5.1 受影响软件版本

SSH-2.0-Serv-U_15.1.6.25至SSH-2.0-Serv-U_15.2.3.723

备注:SSH-2.0-Serv-U_15.1.6.25版本为2017年发布,更早的版本肯定也受影响,只不过当前测试的最早版本为2017年。SSH-2.0-Serv-U_15.2.3.723版本为最新的补丁版本的前一个版本。

5.2 远程利用限制条件

Serv-U需要以服务方式启动才能利用成功,不过Serv-U默认安装本来就是以服务方式启动的。如果以非服务方式启动则无法利用成功。

image.png

5.3 远程利用执行演示效果及特殊情况说明

  • 利用成功后,目标机器的Serv-U.exe程序会执行我们的ShellCode代码,并且启动一个PowerShell子进程(父进程为Serv-U.exe),并通过PowerShell脚本回连我们设置的IP和端口,获取的SHELL权限为SYSTEM权限;
  • ShellCode代码启动的程序和执行的程序命令可以通过修改攻击脚本自行设定;
  • 上述第2点提到的ShellCode执行的程序命令有长度限制,不能超过500个字节;
  • 如果利用成功,Serv-U.exe程序会崩溃并自动重启(不会弹框,因为是服务方式启动所以会自动重启),所以可以无限次反复远程利用;
  • 如果利用失败,攻击脚本执行完后稍等十秒再进行下一次攻击,直到成功为止;
  • 每次的攻击成功率大概在20-50%%%%;
  • 单次攻击发出的网络数据包大小在2-3M左右,注意网络情况;
  • 每个Serv-U版本需要有对应的ROP序列,所以每一个单独的小版本的Serv-U都需要定制化开发对应的攻击代码(程序有DEP,但关键DLL无ASLR)。
  • 本文仅作安全技术分析,旨在为无法获得补丁的用户和安全研究人员提供此漏洞细节分析,所以不提供任何POC。
推荐阅读