如何深入分析Citrix ADC远程代码执行RCE漏洞CVE-2019-19781

本篇文章给大家分享的是有关如何深入分析Citrix ADC远程代码执行RCE漏洞CVE-2019-19781，小编觉得挺实用的，因此分享给大家学习，希望大家阅读完这篇文章后可以有所收获，话不多说，跟着小编一起来看看吧。2019年年底，Citrix ADC和Citrix Gateway被曝出存在远程代码执行的高危漏洞CVE-2免费云主机域名019-19781，该漏洞最吸引人的地方在于，未授权的攻击者可以利用它入侵控制Citrix设备，并实现进一步的内网资源访问获取。漏洞由安全团队Positive Technologies 和 Paddy Power Betfair发现上报，但在漏洞公告中却未给出过多的漏洞利用方式，因此，这是值得来深入研究的地方。虽然在Citrix官方的漏洞公告中未透露出漏洞利用细节，但从其中的漏洞缓解措施中，却侧面揭露了该漏洞的相关类型：从上述缓解措施信息中，我们判断漏洞可能存在的路径为/vpns/，且有可能是一个目录遍历漏洞。有了这些线索，我们开始在httpd.conf文件中去寻找路径/vpns的定义方法，之后发现NetScaler::Portal::Handler Perl Module (Handler.pm)模块在/vpn/portal/scripts/目录下负责生成了一些方法定义。/vpn/portal/scripts/下包含了一些脚本文件，由于前期我们判断漏洞起因是目录遍历，因此我们把分析重点放到了那些具备文件写操作的代码路径上。之后，我们在perl模块中的UsersPrefs脚本中发现了以下代码：简言之，上述代码用于从用户相关的NSC_USER HTTP头中构建一条路径，但是在过程中却缺乏任何安全校验措施，结果导致可用任意调用csd方法的脚本去触发目录遍历漏洞。经分析发现，/vpn/portal/scripts/下的所有脚本都会调用csd方法函数，但其中一个脚本文件newbm.pl比较特别：newbm.pl会首先创建一个包含各种参数信息的数组，之后，又会调用filewrite方法把数组中的信息写入到一个XML文件中：按理来说，我们可以通过构造一些写入命令去控制文件路径或XML中内容，但是，在这里一切都不管用。之后，我们看了安全研究者Craig Yong写的《关于CVE-2019-19781你需要知道的》，其中特别提到了可用Perl Template Toolkit模板工具实现漏洞利用。深入研究后，我们发现可以在XML文件中插入一些特定的指令，如果这些指令被模板引擎解析，就能触发命令执行。以下就是模板引擎解析test.xml后发生命令执行的一个例子：综上所述，现在我们有了Perl Template Toolkit这种插入指令的文件写操作方法，但还需要一种方法让某个脚本去强制模板发生解析操作。之后，我们在模板的引用代码中发现Handler.pm可以被用来实现模板解析：其中的变量 $tmplfile是从HTTP Request Path中构建的，而且之后为了处理这个$tmplfile变量文件，还会生成一个新的模板。现在，将我们之前创建的test.xml测试文件放到模板目录下，触发模板解析行为看看：总结来看，为了成功漏洞利用需要进行以下步骤：1、通过模板机制发现执行Perl代码的方式（需要绕过）；2、利用目录遍历方式，在模板目录下放入一个经过构造的XML文件；3、浏览放入的XML文件，触发模板解析，实现XML中的代码执行。重点在于最后一步的任意代码执行，在原本默认的Citrix配置中，是不能实现代码执行的，只有经过一个特性配置才能实现Perl代码执行。先前考虑到受漏洞影响的Citrix设备数量，且已有多个团队已经把该漏洞武器化，因此我们没有提供针对该漏洞的利用代码，但后续随着漏洞的披露以及多个安全研究者的exploit公开，我们也选择了公布具体的漏洞利用方法。这里有两种方法可以实现代码执行，第一种也就是目前大多数公开exploit中使用的BLOCK模板注入方法。我们通过在Perl Template Toolkit的GitHub中，发现了这个被其他用户提交的bug，而正是这个bug可被在此进行利用：bug问题中介绍执行任意perl代码的方法，目前看似所有公开的exploit中都使用了这种方法，实现了上述漏洞中的任意命令执行，我们再来深入看看这种利用方法在漏洞中的具体实现。根据Perl Template Toolkit的文档描述可知，模板变量是一个特殊变量，且在调用处理过程中会包含一个指向主模板的对象引用，这里的对象类型可以通过print方法打印显示，为Template::Document：有了这个对象引用之后，就可以用受控参数去调用方法。通过研究其中的类class代码，我们发现可以综合上述特性成功去调用new方法：该new方法可以获取BLOCK模板中的参数并调用eval方法，由此实现任意的perl代码执行。此外，我们还发现用另一个方法component ，也可以实现同样的攻击效果。在对源代码的方法调用安全分析中，我们发现了DATAFILE插件中的以下代码：如果你具备perl代码审计经验，就会了解使用上述只有两个参数的open函数来打开文件进行操作是不安全的。如果加上管道命令 | 后，open函数将会把它的其余部分解释为命令调用，加之由于我们可以控制文件名变量$filename，所以可以用这种方法来实现命令执行。通过构造一个模板文件，在调用了 DATAFILE 插件后，就可导致任意命令执行，如下：可以看到构造文件中的命令成功创建了预想的/tmp/COMMAND_INJECTION/目录：该漏洞被相继发现披露后出现了各种exploit，但如Craig Yong在文章中说到的“需要注意的是，某些Payload会导致Citrix NetScaler过度记录错误，直到它填满/var分区”。大家可点此获取Exploit漏洞利用代码。目前，Citrix公布了详细的漏洞缓解措施，其中包含了具体的执行步骤，我们建议Citrix ADC用户及时参照该项措施进行修复。此外，在针对设备发起的外界POST请求中，如果其中涉及到“/vpns/” and “/../”样式的字符串，且之后跟着一个对xml文件的GET请求，那么就可以直接把它判断为漏洞利用的攻击行为了。以上就是如何深入分析Citrix ADC远程代码执行RCE漏洞CVE-2019-19781，小编相信有部分知识点可能是我们日常工作会见到或用到的。希望你能通过这篇文章学到更多知识。更多详情敬请关注云编程开发博客行业资讯频道。

相关推荐: 了解http字段之cookie

（1）打开网页链接，题目如下（2）将提示解码（3）我们看到提示中有path和phpsessid这两个值，我们判定这个为cookie字段的值。于是，我们将其加入获取的报文中看是不是可以成功至此，没有什么有价值的。。。。（4）开始上工具扫目录发现有文件（5免费云主…