Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
En vedette (13)
Similaire à ノリとその場の勢いでPocを作った話
Similaire à ノリとその場の勢いでPocを作った話 (20)
Plus de zaki4649
Dernier
Dernier (10)
ノリとその場の勢いでPocを作った話
- 2. 自己紹介 Shun Suzaki(洲崎 俊) ユーザ企業のセキュリティチームに所属する セキュリティエンジニア Twitter: とある診断員@tigerszk • ISOG-J WG1 • Burp Suite Japan User Group • OWASP JAPAN Promotion Team • IT勉強会「#ssmjp」運営メンバー I‘M A CERTAIN PENTESTER! 公開スライドなど http://www.slideshare.net/zaki4649/
- 3. Joomla!って知ってます？ • 世界でも数多く利用されているオープンソース CMS • PHPで記述されている Joomla! The CMS Trusted By Millions for their Websites : https://www.joomla.org Joomla!でてけとーに作ってみたデモサイト
- 5. どんな脆弱性？ 1. ユーザ登録時に管理者権限を設定できる （CVE-2016-8869） 1. 参考：http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-005738.html 2. ユーザ登録を許可していない設定でも ユーザ登録が可能（CVE-2016-8870） 参考： http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-005739.html 外部からユーザ作成できない設定にしているにも かかわらず勝手に管理者権限のユーザを作成されて しまう！！ combination
- 6. 一体何故こんな脆弱性が？ • components/com_users/xontrollers/user.php にて 定義されているUsersControllerUser::register()の 値検証に不備が存在するため • UsersControllerUser::register()は現在は使われていない メソッドだがなぜかコードには残っていた • このUsersControllerUser::register()を簡単に 外部から呼び出すことができた • ちなみに脆弱性が修正された ver 3.6.4では本メソッドは 削除されている
- 8. 検証のおかげでわかったことも • 検証の結果、攻撃が成功するかどうかはある程度 Joomla！側の設定に依存することが判明 • 以下設定の場合には本脆弱性により管理者権限 ユーザが作成され、被害を受ける可能あり – New User Account Activation が None と設定されている 場合 – New User Account Activation が Self と設定されており、 Allow User Registration が Yes と設定されている場合 • 危険な脆弱性には違いないが、デフォルト設定の 場合であれば攻撃の被害はうける可能性は低い 参考：とある診断員によるJoomla!の脆弱性検証まとめ http://togetter.com/li/1041878
- 11. 確かに以前そんな話題がありましたね 1万台ものルーターを何者かが勝手にハックしてセキュリティを高めていたことが 発覚 - GIGAZINE : http://gigazine.net/news/20151002-hacked-routers-secure/
- 15. 作成するPoCのコンセプト • 脆弱性を利用してJoomla!をセキュアな バージョンにアップデートする • 作成したアカウントはちゃんと 無効化してセキュアな状態にする • どうせならしっかり笑いをいれる
- 16. そして作成したものがこちらです 以下にPoCの実行動画をアップロードしています https://youtu.be/OWqBYuExKqo ※なお、動画の編集内容に関しては完全に僕の趣味が入ってます
- 19. Joomla!の設定 動画内でも説明していますが、フロント側からのユーザ登録は無効として います。 また、本脆弱性を利用して有効なアカウントを作成できるように 「New User Account Activation」の項目を「None」としています。
- 25. PoCの中身
- 31. phpファイルがアップロードできない… なんとJoomla!はアップロードするコンテンツに対して独自に内部で チェックをしているらしく、「<?php」などが記載されたファイルや 「 .php 」 ,「.phtml 」などの拡張子をブロックするような仕様みた いです（今回初めて知ったーよ。）。 Media: Optionsで拡張子を許可するようにする設定をしてもダメです。 これでは折角のwebshellがアップロードできません。 ハイ詰んだ！
- 32. チェックをバイパスする方法があった 一瞬お通夜のような雰囲気になりましたが、実はこれをバイパスする テクニックがありました。 UbuntuなどでPHP,Apacheをパッケージインストールした場合の Apacheのコンフィグファイル（php7.0.confなど）には上記のような 記述がされています。 上記は拡張子が「php3」, 「php4」, 「php5」, 「php7」 , 「pht」, 「phtml」であればphpファイルとして解釈される記載となっています。 これを利用して、「pht」などJoomla!側でのブロックをすり抜ける拡 張子設定してファイルをアップロードします。 ちなみに今回の攻撃対象をUbuntuで構築した理由はそういう訳です。 <FilesMatch ".+¥.ph(p[3457]?|t|tml)$"> SetHandler application/x-httpd-php </FilesMatch>
- 35. 安心してください！対策されてますよ！ ちなみにこのテクニックですが、先日リリースされた3.6.5にてちゃ んと対策されてるようです。 一応自分も試してみましたが、今回のPoCで利用していたWebShell ファイルはブロックされました。 JVNDB-2016-006122 - JVN iPedia - 脆弱性対策情報データベース : http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-006122.html
- 39. User Noteについては Joomla!のUser Noteについては検証の結果、<p>を入力可能ことが 判明したので、それを利用して２ちゃんねる系のアスキーアートの やる夫をそのまま表示させています。 ちなみにLinux環境からくずれないようにやる夫を表示させるために デモ環境のKali LinuxにはIPAモナーフォントを導入しました。