遠程代碼執(zhí)行漏洞的探討安全小課堂第十二期

1、遠程代碼執(zhí)行漏洞的探討2016-05-27 京東安全應急響應中心安全小課堂第十二期遠程代碼執(zhí)行漏洞因其簡單的特點，流行于各大專家genxor和唯品會安全專家張劍，來和大家聊一聊遠程代碼執(zhí)行漏洞。豌豆妹能說說遠程代碼執(zhí)行漏洞的原理么？小新由于開發(fā)人員編寫源碼，沒有針對代碼中可執(zhí)行的特殊函數(shù)入口做過濾，導致客戶端可 以提交惡意構(gòu)造語句提交，并交由服務器端執(zhí)行。命令注入攻擊中WEB服務器沒有過濾 類似system(),eval()，exec()等函數(shù)是該漏洞攻擊成功的最主要原因。豌豆妹那現(xiàn)狀呢？遠程代碼執(zhí)行是我的一把備用鑰匙，你的一不留神我就能輕易出入你們家，運氣好趕上框架級應用那備用鑰匙就不是一把

2、了，甚至提權小丸子因其簡單的特點，流行于各大圈?，F(xiàn)在最主要的，也是目前案例最多的，可能是struts2的利用了。再就是去年的java反序列。反序列化這個東西， 其實是一門老手藝了，很久以前php就流行過相關利用，具體可以參看super hei、fly。比如php里面unserialize函數(shù)的利用。系統(tǒng)層面早期的棧溢出，MS03-026、MS04-011、MS05-039、MS06-040、MS08-067。葫蘆娃遠程代碼執(zhí)行出現(xiàn)的范圍較廣，一般的應用程序，如瀏覽器，adobe flash player，還有操作系統(tǒng)都會有相關的漏洞導致遠程代碼執(zhí)行。近年來遠程代碼執(zhí)行方面的漏洞，出 鏡最多的可

3、能就屬struts2了，這個框架在國內(nèi)應用于各大門戶網(wǎng)站?，F(xiàn)在android也出 現(xiàn)了很多遠程代碼執(zhí)行的漏洞。像堆溢出，棧溢出，整型溢出，類型混淆，use after free，訪問越界，格式化字符串等都會導致遠程代碼執(zhí)行。2豌豆妹那遠程代碼執(zhí)行漏洞出現(xiàn)的形式有哪些呢？哆啦A夢web層面先說java。比如利用表達式注入、調(diào)用反射類、xslt注入、服務端模板注入、操控容器的classLoader等。php層面的話，比如利用一些危險函數(shù)比如system、shell_exec、passthru等。小新還有一種形式，就是shellshock那種漏洞，bash的命令執(zhí)行，實際上是加載不安全的環(huán) 境變量導

4、致，bash的代碼底層在解析環(huán)境變量的時候出現(xiàn)問題，導致可以注入任意代 碼，這個漏洞有點兒類似于php里面的create_function命令執(zhí)行漏洞，根源都是由于底層函數(shù)對用戶傳入的變量沒有嚴格過濾，導令注入。3豌豆妹大家都知道遠程代碼執(zhí)行漏洞都是簡單，能詳細給說說到底有多大么？小丸子命令執(zhí)行，對于攻擊者來說是打開缺口的絕好方法，可長驅(qū)控制內(nèi)網(wǎng)，甚至葫蘆娃概述就是攻擊者可以通過遠程調(diào)用的方式來讓被攻擊計算機設備執(zhí)行惡意程序，從而控制遠程計算機；從范圍來講，遠程代碼執(zhí)行漏洞的影響范圍很廣，例如去年關于安卓libStagefright的一系列漏洞號稱影響95%安卓手機的安全，攻擊者只需給受影響系

5、統(tǒng)發(fā)送條彩信就可以控制手機。4豌豆妹那如何預防遠程代碼執(zhí)行漏洞的侵入呢？能說說防御措施么。小新開發(fā)程序時，要假定所有輸入都是可疑的，嘗試對所有輸入提交可能執(zhí)行命令的構(gòu)造語 句進行嚴格的檢查或者控制外部輸入，系統(tǒng)命令執(zhí)行函數(shù)的參數(shù)不允許外部傳遞。哆啦A夢簡單來說，卡住入口點很關鍵。對輸入的數(shù)據(jù)不僅要驗證數(shù)據(jù)的類型，還要驗證其格式、長度、范圍和內(nèi)容。小丸子我舉個比較詳細的例子。拿struts2來舉例。在執(zhí)行ognl之前設置黑，在struts-default.xml配置struts.excludedClasses限制一些類。也就是說，卡住ognl的入口，設置黑，過濾其執(zhí)行命令的通道。除了安全編碼，在

6、安全應急時，要抓住漏洞特征，快速定位有漏洞的程序和系統(tǒng)；在補丁程序未開發(fā)完時，抓住攻擊代碼特征，對遠程輸 入數(shù)據(jù)進行分析，驗證；及時更新程序，打補??；其他的方法就是常規(guī)的waf之類了。5豌豆妹能給大家分享下遇到過的比較典型的案例么？哆啦A夢我就以我的理解總結(jié)下wooyun上的三星默認輸入法遠程代碼執(zhí)行。豌豆妹愿聞其詳。 哆啦A夢攻擊前提是攻擊者能夠劫持流量：首先，該輸入法在更新語言包時，對下載的文件校驗 不嚴格，沒有簽名，中間人可以同時篡改下載文件和對應的hash值繞過校驗；然后，語 言壓縮包中的文件是由 system user寫入的，有很高的權限，可以寫入很多位置；再者，odex文件完整性校

7、驗機制有問題，只是校驗odex文件的crc32和modify time；由以上第二點，包含在語言zip包中的惡意odex文件就可以覆蓋/data/dalvik-cache/目錄 下的odex；由第三點，保證惡意odex的crc32和modify time和源odex文件一致，繞過odex文件校驗，以system user權限執(zhí)行惡意的odex。豌豆妹hhha感謝360安全專家genxor和唯品會安全專家張劍，與我們分享寶貴經(jīng)驗，撒花 咱們下期再見！jsrc_team京東安全應急響應中心動動手指，關注下唄 安全小課堂往期回顧：1、論安全響應中心的初衷；2、安全應急響應中心之威脅情報探索；3、論安全漏洞響應機制擴展；4、企業(yè)級未授權訪問漏洞防御實踐