SSH 원격 코드 실행

SSH 제로데이 | 제작: ClumsyLulz & Taylor Christian Newsome

요약

이 저장소에는 입력 매개변수를 받아 SSH 프로토콜을 통해 서버로 전송할 패킷을 생성하는 C 프로그램이 포함되어 있습니다. 프로그램은 데이터를 저장하기 위해 버퍼를 할당하고, 이를 파일에 기록하며, system 함수를 사용하여 지정된 호스트와 포트로 SSH 연결을 시작하는 명령줄 문자열을 구성합니다.

식별된 문제점

현재 구현에는 다음과 같은 여러 보안 및 안정성 문제가 존재합니다.

버퍼 오버플로: malloc으로 28바이트만 할당되지만 29바이트가 기록되어 메모리 손상 또는 세그멘테이션 오류가 발생할 수 있습니다.
잘못된 반환 주소 계산: 반환 주소가 버퍼 크기가 아닌 패킷 길이를 사용하여 계산되므로 잘못된 값이 생성됩니다.
형식 문자열 문제: 반환 주소에 대한 printf 문에 잘못된 형식 문자열이 포함되어 정의되지 않은 동작이 발생합니다.
검사되지 않은 I/O 작업: open 및 write의 반환 값이 확인되지 않아 데이터 손실 또는 불완전한 쓰기가 발생할 위험이 있습니다.
메모리 누수: buffer 및 ssh 포인터에 할당된 메모리가 해제되지 않습니다.
안전하지 않은 명령 실행: system을 사용하여 SSH 명령을 실행하면 임의의 명령이 상승된 권한으로 실행될 수 있어 심각한 보안 위험이 됩니다.

권장 사항

프로그램의 보안과 안정성을 개선하려면 다음 변경 사항을 권장합니다.

오버플로를 방지하려면 버퍼에 최소 29바이트를 할당하세요.
반환 주소를 계산할 때 패킷 길이가 아닌 버퍼 크기를 사용하세요.
반환 주소에 대한 printf 문의 형식 문자열을 수정하세요.
open 및 write 호출의 반환 값을 확인하고 처리하세요.
buffer 및 ssh 포인터에 대해 동적으로 할당된 모든 메모리를 해제하세요.
임의의 명령 실행을 방지하려면 system을 execvp와 같은 더 안전한 대안으로 교체하세요.

이러한 수정을 구현하면 프로그램의 안정성이 향상되고 잠재적인 보안 취약점이 줄어듭니다.

root@vmi2865841:~/tools/SSH-Remote-Code-Execution# cat /etc/issue
Debian GNU/Linux 12 \n \l

root@vmi2865841:~/tools/SSH-Remote-Code-Execution# docker run -it --rm \
>   -v /root/tools/SSH-Remote-Code-Execution:/poc \
>   i386/debian:wheezy bash
root@29bcb37807cf:/# cat /etc/issue
Debian GNU/Linux 7 \n \l

root@29bcb37807cf:/# cat /etc/shadow
root:*:17955:0:99999:7:::
daemon:*:17955:0:99999:7:::
bin:*:17955:0:99999:7:::
sys:*:17955:0:99999:7:::
sync:*:17955:0:99999:7:::
games:*:17955:0:99999:7:::
man:*:17955:0:99999:7:::
lp:*:17955:0:99999:7:::
mail:*:17955:0:99999:7:::
news:*:17955:0:99999:7:::
uucp:*:17955:0:99999:7:::
proxy:*:17955:0:99999:7:::
www-data:*:17955:0:99999:7:::
backup:*:17955:0:99999:7:::
list:*:17955:0:99999:7:::
irc:*:17955:0:99999:7:::
gnats:*:17955:0:99999:7:::
nobody:*:17955:0:99999:7:::
libuuid:!:17955:0:99999:7:::
root@29bcb37807cf:/# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
root@29bcb37807cf:/# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UP
    link/ether 1e:13:2e:66:6f:69 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
root@29bcb37807cf:/# cd /bin/
root@29bcb37807cf:/bin# ls
bash   chmod  dash  df     dnsdomainname  egrep  findmnt  gzexe     ip     ls     mknod   mount       nisdomainname  ping6  readlink  run-parts  sh.distrib  stty  tailf     touch   uname       which         zcmp    zfgrep  zless
cat    chown  date  dir    domainname     false  grep     gzip      ln     lsblk  mktemp  mountpoint  pidof          pwd    rm        sed        sleep       su    tar       true    uncompress  ypdomainname  zdiff   zforce  zmore
chgrp  cp     dd    dmesg  echo           fgrep  gunzip   hostname  login  mkdir  more    mv          ping           rbash  rmdir     sh         ss          sync  tempfile  umount  vdir        zcat          zegrep  zgrep   znew
root@29bcb37807cf:/bin# df -h
Filesystem      Size  Used Avail Use% Mounted on
overlay         1.4T  977G  346G  74% /
tmpfs            64M     0   64M   0% /dev
shm              64M     0   64M   0% /dev/shm
/dev/sda1       1.4T  977G  346G  74% /poc
/dev/sda1       1.4T  977G  346G  74% /etc/resolv.conf
/dev/sda1       1.4T  977G  346G  74% /etc/hostname
/dev/sda1       1.4T  977G  346G  74% /etc/hosts
tmpfs            48G     0   48G   0% /proc/acpi
tmpfs            64M     0   64M   0% /proc/interrupts
tmpfs            64M     0   64M   0% /proc/kcore
tmpfs            64M     0   64M   0% /proc/keys
tmpfs            64M     0   64M   0% /proc/timer_list
tmpfs            48G     0   48G   0% /sys/firmware
root@29bcb37807cf:/bin# cat /proc/keys
root@29bcb37807cf:/bin# cat /etc/resolv.conf
# Generated by Docker Engine.
# This file can be edited; Docker Engine will not make further changes once it
# has been modified.

nameserver 1.1.1.1
nameserver 8.8.8.8
nameserver 213.136.95.10
nameserver 213.136.95.11
search .

SSH-Remote-Code-Execution

인기

SSH 원격 코드 실행

요약

식별된 문제점

권장 사항