如何入侵 Pocket 内网

1,868 阅读7分钟
原文链接: www.freebuf.com

FreeBuf不久前刚刚报道过,Pocket应用的开发人员最近修复了几个泄露数据的漏洞,黑客可从服务器上获取敏感信息。这里献上教程,供大家学习交流。

Pocket是什么

我已经很多年没把Firefox当作我的主力浏览器了,所以其实之前我都没有听说过Pocket,直到我在Bugzilla看到这么篇帖子,讲的就是Mozilla基金会在所有版本的Firefox中预装了 Pocket插件,并且这个插件无法卸载。尽管这引起了用户们的强烈抗议,基金会还是固执地绑定Pocket。

Pocket的功能就是让用户保存网页“稍后阅读”。Pocket可以将你要阅读或者一时没有读完的网页标记下来,接着同步到服务器端,然后你就可以在不同的设备上阅读。作为信息安全从业者,我发现这种功能通常都会导致安全问题,所以我就打算检查一下Pocket有没有问题。

事实上,这些漏洞中,大部分就可以被攻击者利用了。攻击者想要利用这些漏洞都不需要什么复杂的工具,甚至连脚本的知识都不需要。

尝试1:协议处理程序

用户可以通过Pocket网站上的队列管理功能添加URL到队列中。由于应用的用途主要是浏览网上的网页,所以这些URL理应被限制,应该只允许http和https链接。所以首先我尝试在队列中添加以下链接:

    file:///etc/passwd
    ssh://localhost
    telnet://localhost:25

很遗憾,经过测试,这些都没成功

尝试2:利用Pocket功能作为内网代理

我之前在Apache服务器的状态页面看到过一条Apache错误信息。这种错误信息通常是.htaccess或者Apache配置文件限制了localhost或一些信任的网段访问server-status的时候才会出现的:

Forbidden
 
You don't have permission to access /server-status on this server.

我在我的Pocket队列中加了一条新链接:http://127.0.0.1/server-status。加入后,后端服务器就会发送HTTP请求获取内容。Apache会信任来自localhost的请求吗?

事实证明,这一招很管用,之后我就在Pocket队列中看到了如下信息:

Apache Server Status for 127.0.0.1
 
Server Version: Apache/2.2.29 (Unix) DAV/2
Server Built: Mar 12 2015 03:50:17
Current Time: Tuesday, 28-Jul-2015 10:07:45 CDT
Restart Time: Tuesday, 28-Jul-2015 03:20:12 CDT
Parent Server Generation: 12
Server uptime: 6 hours 47 minutes 32 seconds
Total accesses: 241913 - Total Traffic: 4.1 GB
CPU Usage: u1209.24 s110.06 cu0 cs0 - 5.4% CPU load
9.89 requests/sec - 177.5 kB/second - 17.9 kB/request
40 requests currently being processed, 14 idle workers
...

服务器状态情况的全部输出被同步到了我的Android上。Apache的mod_status可以显示出大量有用的信息,包括内部来源和目标IP地址,发送的请求中的URL的参数,还有查询参数。对于Pocket应用,请求的URL包括Pocket用户们正在浏览的URL,因为这些请求是通过HTTP GET方式进行的。

要隐藏上述的这些服务器信息,我们可以关闭Apache中的ExtendedStatus。大部分Pocket的后端服务器都关闭了ExtendedStatus,但是很小一部分的服务器还是开着,所以就导致攻击者可以获取到这些有用的信息。

另外,通过修改server-status 的GET参数,攻击者可以强制然Pocket重新下载页面,这样黑客就有可能获取到不同服务器的信息。

    http://127.0.0.1/server-status?meaningless_parameter=1
    http://127.0.0.1/server-status?meaningless_parameter=2
    http://127.0.0.1/server-status?meaningless_parameter=3

Pocket搭建在亚马逊EC2上

既然Pocket存在漏洞可以让用户获取到Pocket后端服务器的相关信息,我们就看看利用这个漏洞我们还能获取到哪些信息。简单使用dig命令,我们就可以知道Pocket用的是亚马逊的EC2服务器。亚马逊的EC2有个实例元数据服务。这个服务只能从内部访问,无需验证,在所有的EC2实例上都有。我们可以尝试使用这个服务获取更多的信息:

    http://169.254.169.254/latest/meta-data/
    http://169.254.169.254/latest/meta-data/hostname
    http://169.254.169.254/latest/meta-data/ami-id

 在Pocket队列中添加了上面的这些链接后,我就能看到完整的服务器回应了。EC2的元数据包括很多对攻击者有用的信息,包括IAM登录信息,还有关于这个instance的细节信息,包括可用区、instance类型、网络类型、MAC地址,块存储器的信息等。

攻击者还可以干什么呢?

对localhost的HTTP服务进行端口扫描,这可以绕过EC2的防火墙规则
对端口扫描的结果进行分析,识别开启的web应用
在Pocket内部环境下进行漏洞利用

很多大企业或者小公司都会有只能通过内部访问的web应用,这些应用通常无需验证,因此很容易会被攻击者利用。

server-status中的这些内部IP地址能用来干什么呢

从亚马逊EC2元数据上可以看出,Pocket使用的EC2服务器是在us-east-1(美东1区)区域,网络类型是classic(EC2有两种网络类型可选:EC2-Classic 和VPC。VPC更好一些,有些实例类型也只有VPC上才有。VPC在创建子网络和访问控制列表(ACL)的时候更加灵活)。

由于Pocket用的是EC2-Classic,要访问server-status中的内部IP地址,只需要在us-east-1区域租个2美分/小时的t1.micro实例。这样攻击者就可以使用RFC-1918地址访问这些实例上运行的服务了,例如ssh和http,甚至还可以进行端口扫描。

使用这些内部IP地址访问后端服务器有几个优点:

可以绕过前端负载平衡器和前端的WAF防火墙之类的东西,在有前端负载平衡器的情况下,攻击者可以通过设置X-Forwarded-For修改源IP地址,黑客可以通过这种方法避开ACL或者伪造log。

输入重定向

像Pocket这一类的应用在处理HTTP重定向链接的时候很有可能会忽视某些问题,造成安全隐患。那在URL队列中加入重定向链接会发生什么呢?我输入了file:///etc/passwd,后果很严重:

HTTP/1.1 301 Moved Permanently
Location: file:///etc/passwd
Content-Length: 52
Date: Tue, 28 Jul 2015 18:42:58 GMT
Connection: keep-alive
 
Moved Permanently. Redirecting to file:///etc/passwd

我在Android机上刷新了Pocket应用后,队列中就增加了file:///etc/passwd。点击之后,/etc/passwd完整的内容就呈现在了我眼前。

应Pocket的要求,/etc/passwd内容已删除

漏洞能够造成什么影响可以留给读者考虑。

有了/etc/passwd之后能干什么

在测试Pocket的时候,我用这个重定向漏洞请求了file:///proc/self/status文件,这个文件可以用来获取正在运行的进程的更多信息。

下面就是部分进程状态信息:

Uid:        0              0              0              0
Gid:        0              0              0              0

以root身份运行这个进程能够造成什么后果也留给读者考虑。

把漏洞结合起来

Pocket针对我的报告快速做出了回应,所以我没能够把这些漏洞结合起来。但是设想如果真的有个心怀不轨的攻击者发现了这些漏洞,他能做些什么呢?

1. 通过301重定向获取file:///etc/passwd文件,然后获取EC2用户的home目录
2. 从用户home目录获取ssh私钥
3. 使用/server-status获取内部IP地址
4. 租一个EC2实例,地区设置在US-EAST-1地区
5. 用获取的到的ssh私钥连接Pocket后端服务器的IP地址

接下来能做什么,你懂的^_^

Pocket的漏洞披露政策还是很负责的,我把所有的漏洞细节第一时间提交给了Pocket官方,而漏洞披露时间是由提交者自行决定的,不过要在漏洞提交后的21天后,好让Pocket有时间处理漏洞。现在漏洞都已经修复。

*参考来源:gnu.gl,译/Sphinx,文章有修改,转载请注明来自Freebuf黑客与极客(FreeBuf.COM)