谨防黑客通过Java 和Python的FTP注入漏洞绕过你的防火墙

xiaohui 技术 2017年3月3日发布
Favorite收藏

导语:最近,Java的FTP URL处理代码中的一个协议流注入漏洞已经被安全研究人员发现并公布,它允许协议流注入。根据研究,这个协议流注入漏洞可以利用现有的XXE或SSRF漏洞,让黑客通过SMTP协议从Java应用程序发送未经授权的恶意电子邮件。

1487931411895610.png

最近,Java的FTP URL处理代码中的一个协议流注入漏洞已经被安全研究人员发现并公布,它允许协议流注入。根据研究,这个协议流注入漏洞可以利用现有的XXE或SSRF漏洞,让黑客通过SMTP协议从Java应用程序发送未经授权的恶意电子邮件。

像这样的协议注入漏洞,这几年一直是一些安全专家研究的重点领域,最新的研究发现, 黑客会利用FTP这样的协议注入漏洞绕过目标设备所设置的防火墙,进而与目标主机系统建立远程TCP连接(端口1024-65535)。不过研究还发现,Python的urllib2和urllib库也存在一模一样的漏洞。不过黑客可以利用Java漏洞,在用户没有启用任何的Java浏览器插件的情况下,对桌面用户进行攻击。

不过截止2017年2月20号,以上所披露的这些漏洞还没有被相关厂家修复。

漏洞介绍

实际上Java很容易通过URL中的多个数据字段进行注入攻击,包括URL中的用户名字段以及地址中所指定的任何目录。虽然Python里的URL库(Python2的urllib2以及Python3的urllib)同样存在类似的协议流注入漏洞攻击,但黑客仅能通过URL中指定的目录名称来实施攻击,所以攻击所造成的危害是非常有限的。

一般来说,黑客可以利用恶意URL中的FTP协议流注入漏洞来对Java进行攻击。如果黑客可以让被攻击的Java应用去获取恶意URL指定的目录名称,那么黑客就可以将FTP命令注入客户端的协议流中。以下面这个URL为例,

1.png

这样就可以向TCP流数据中添加新行了,然后让 邮件接收服务器误认为URL中的“INJECTED”是客户端发送的一条命令。当Java应用获取到了上面的这个URL之后,会将其切分成多个单独的指令序列来发送,

2.png

FTP的安全问题介绍

为了能够完全理解本文所介绍的攻击,我们就必须清楚的了解FTP协议的工作原理。FTP(File Transfer Protocol)是文件传输协议的简称。用于Internet上的控制文件的双向传输。同时,它也是一个应用程序(Application)。用户可以通过它把自己的PC机与世界各地所有运行FTP协议的服务器相连,访问服务器上的大量程序和信息。

FTP的主要作用,就是让用户连接上一个远程计算机(这些计算机上运行着FTP服务器程序)察看远程计算机有哪些文件,然后把文件从远程计算机上拷到本地计算机,或把本地计算机的文件送到远程计算机去。

FTP通信首先要建立一个数据通道,因为只有数据通道才能传输目录和文件列表,然后是在控制信道中,由客户端(一般通过端口21)与服务器建立一条TCP连接,通过控制信道来发送各种命令。

FTP两种工作模式介绍:

1.主动FTP模式

最初的FTP规范中使用的就是传统的主动模式的FTP。在这种模式下,客户端从一个临时端口(大于1024的端口号)连接到FTP服务器的命令控制端口(端口21),当客户端准备好传输数据时,FTP服务器从其数据端口(端口21)打开一个到该IP地址和客户端提供的临时端口的连接。这里的关键是不向服务器发起真实的数据连接,而是告诉服务器他自己的端口号(通过执行port命令);然后服务器连接回到客户端指定的端口。在这种模式中服务器被认发起者。

对于防火墙之后的客户端,主动模式的FTP会有点小问题。

从2002年开始, FTP的传统模式一直就不断被攻击,当时有一名用户意外地在一个Web页面中加载了一个非特权Java Applet,这个Applet可以让目标主机建立一条指向攻击者服务器的FTP控制通道,然后让防火墙开启任意TCP端口并将它们转发回受害者的桌面系统,到目前为止,十五年过去了,很多商业防火墙仍然默认支持这种FTP的传统模式。

2.被动FTP模式

FTP客户端执行pasv命令表明它希望以被动模式来访问数据,服务器响应以其IP地址和一个客户端可以连接来传输数据的临时端口。客户端运行的pasv命令告诉服务器监听一个非正常端口(即端口20)的数据端口,然后等待客户端的连接,而不是自己发起新连接。这里的关键区别在于客户端初始化到服务器所提供的IP地址和端口的连接。在这种关系中,服务器被认为是数据通讯的被动者。

但是随着防火墙和网络地址翻译器(NAT)的广泛使用,防火墙也开始支持“被动”模式的FTP了,利用动态路由算法来将服务器端发起的TCP连接定向转发到相应的主机。

绕过防火墙

由于这个FTP控制通道的注入漏洞允许我们控制FTP客户端所发送的命令,所以我们现在可以还原一下2002年的那次绕过防火墙的攻击,我们可以向流数据中注入一个恶意的PORT命令,当防火墙收到这个命令之后,它会将该命令的内部IP地址以和端口转换成外部IP和端口,然后使用一个临时的网络地址翻译器(NAT)规则并建立单向的TCP连接,然后将数据传送给FTP客户端。

假设目标主机的内部IP地址为10.1.1.1,黑客的服务器为evil.example.com。我们就可以通过下面这个FTP URL来诱骗防火墙开启1337端口,

3.png

不过,在传统模式的FTP PORT命令中,端口号会被切分成两个ASCII码字节,即1337 == 5*256 + 57。不过要想要在传统模式的环境中实现攻击,还有两个问题要解决:

第一个问题:确定内部IP地址

要解决这个问题,攻击者需要首先确定目标主机的内部IP地址,否则防火墙将会忽略我们注入的PORT命令。这时,黑客会发送一个URL,看看客户端会有什么反应,然后再不断进行攻击(一般情况下,只需2-3次尝试便会成功)。

在刚开始进行客户端试探时,黑客会给攻击目标提供一个指向攻击者服务器异常端口的FTP URL,不如下面这个URL,

4.png

不过,在进行这一步操作时,还没有用到协议流注入攻击尝试。而是用FTP客户端启动被动会话并检索z.txt文件,但如果黑客的FTP服务器拒绝PASV命令,则客户端会以传统模式发送PORT命令。

由于控制通道使用的是非标准端口,所以目标主机的防火墙解析出会话中的PORT命令是不太能的,这就会导致被攻击者的内部IP地址被泄露给黑客。

问题二:数据包分组

FTP被设计为同步的、基于文本行的协议,通信双方的数据是按行传输的。这也就意味着通信的双方必须在下一行命令进行之前就相互响应。

因为目前大多数商业防火墙都是安装在Linux平台中的,所以就以Linux的conntrack模块为例来分析。

linux内核中的netfilter是一款强大的基于状态的防火墙,具有连接跟踪(conntrack)的实现。conntrack是netfilter的核心,许多增强的功能,例如,地址转换(NAT),基于内容的业务识别(l7, layer-7 module)都是基于连接跟踪。

所以在conntrack环境下,黑客就必须确保在攻击进行之前,PORT命令出现在数据包的头部,所以下面这个URL并不会让Linux防火墙打开目标端口。

5.png

仔细分析一下这个URL的数据包跟踪。你就会发现客户端所发送的命令被分割成了单个的数据包。

6.png

所以,即便Java或Python可以在一次write(2)调用中发送两条指令,我们还是要找到一种方法来迫使客户端在数据包的头部发送PORT命令。因为用户空间应用程序可能对具有远大于TCP/IP网络数据流所形成的那些单个的数据包的write(2)调用,所以我们要使用的CWD命令的目录要足够长,才能完全充满了一个TCP数据包,自然PORT命令就会进入到下一个数据包的头部了。

不过这么做并非万无一失,因为MTU值(此值设定TCP/IP协议传输数据报时的最大传输单元)可能相对较大, Java 或Python应用程序可能会攻击期间拒绝执行这种非常长的URL。此外,任何一对主机之间的网络变化,都会让MTU值的发生变化。为了避免这样的问题出现,我们可以强制FTP控制通道的TCP连接使用最小的MTU值,不过在攻击时,防火墙规则可以将最大报文段长度(MSS)压缩到536字节,这样就更容易计算出恶意URL的长度。规则(rules)其实就是网络管理员预定义的条件,规则一般的定义为“如果数据包头符合这样的条件,就这样处理这个数据包”。规则存储在内核空间的信息 包过滤表中,这些规则分别指定了源地址、目的地址、传输协议(如TCP、UDP、ICMP)和服务类型(如HTTP、FTP和SMTP)等。当数据包与规 则匹配时,防火墙就根据规则所定义的方法来处理这些数据包,如放行(accept)、拒绝(reject)和丢弃(drop)等。配置防火墙的 主要工作就是添加、修改和删除这些规则。

验证攻击

为了对前文所述的漏洞进行攻击验证,目前研究者已经开发出了对应的攻击脚本,当脚本启动时,

脚本首先会给黑客提供一个URL来对目标主机进行测试,然后启动恶意FTP服务器。当服务器接收到第一个请求之后,FTP服务器便会计算出一个包含目录的新URL,该目录的长度足以让PORT命令进入到下一个数据包头部。一般来说,整个攻击过程(包括用于确定受害者的内部IP的请求)只需要三次SSRF攻击便可以完成,之后就能在目标主机上打开一个TCP端口,如果这一步成功了,以后每一次的SSRF攻击都会对应的打开一个TCP端口。由于大部分防火墙不允许客户端在1024以下的端口设置FTP数据通道,因此黑客的攻击端口范围一般是1024-65535之间。

但是在Oracle公司和Python开发者修复相应漏洞之前我不会将这个脚本发布出来。

不过大家不用担心,在Oracle和Python的开发人员修复相应漏洞之前,他们是不会将这个攻击验证脚本公布的。

攻击场景

在各种各样的攻击场景中,Java应用程序获取URL的方法各不相同,我们在这里一一分情况说明一下:

1.JNLP文件

这个攻击场景确实很让人意外。如果在安装了Java的情况下,桌面用户访问恶意网站,那么即使Java applet被禁用,黑客仍能让Java Web Start来解析JNLP文件,而这些文件中将包含可以触发该漏洞的恶意FTP URL。一个聪明的黑客可以利用这个漏洞利用来识别受害者的内部IP地址,然后计算出数据包分组,一次性完成攻击,另外一个聪明的黑客甚至可以利用一个JNLP文件同时开启多个通信端口。还要注意,由于Java能在防火墙向用户发出任何安全警告之前就解析JNLP文件,所以这样的攻击完全可以在用户毫不知情的情况下完成。(除非浏览器本身就会警告用户Java Web Start已经启动)。

2. 中间人攻击

如果Java或Python(urllib)应用程序正在获取任何HTTP URL,则拥有某些管理权限的网络攻击者便会趁机注入HTTP的重定向来发起攻击。

3. 服务器端请求伪造(SSRF)

如果应用程序能接受任何HTTP,HTTPS或FTP URL,则攻击就更加简单了。通过简单地将客户端重定向到恶意FTP URL就可以实现攻击了。

4. XML外部实体注入攻击(XXE)

大多数XXE的漏洞都会产生类似SSRF访问,所以这种攻击也是很简单的。请注意,由于XML解析设置的问题,某些XXE漏洞并不能用来进行攻击。但是,在某些情况下,SSRF仍然可能通过DOCTYPE标签,比如XML解析器可以对外部漏洞进行利用,那黑客就可以在一个单一的文件中注入URL,然后由此来确定目标的内部IP地址,对数据包分组并最终使用动态重定向来进行攻击。

防火墙测试

由于许多商业防火墙使用Linux作为其设备的基本操作系统的缘故,大多数FTP攻击测试都是针对Linux内核防火墙的,在许多情况下,这些防火墙都默认启用传统的FTP模式。比如通过对Palo Alto防火墙和Cisco ASA防火墙进行的攻击测试,这两个防火墙在默认设置下都很容易受到攻击。虽然对商业防火墙的测试并不能说明所有问题,但可以推测目前大部分防火墙都容易受到FTP协议流注入的攻击。

漏洞责任披露

Python安全小组在2016年1月就发布了FTP协议流注入攻击的提醒,但截至目前他们仍然没有采取明显的行动。

Oracle在2016年11月初就对各个厂商通知了攻击的完整细节,不过目前没有适用于Java的修补程序。

安全防护的建议

1.给商业防火墙供应商的建议

禁用传统模式的FTP,向配置接口添加必要的警告提示

2. 给Linux netfilter团队的建议

在conntrack模块中开启FTP转换可能带来的安全风险提示,避免其他开发商以及提供商再犯同样的错误。

3.给其他软件制造商和服务提供商的建议

对自己生产的产品进行漏洞处理,确保它们不会受到SSRF或XXE攻击的影响。因为目前在默认情况下,Java中的XML解析很脆弱,使得XXE漏洞非常常见。

4.给普通用户的建议

建议从所有桌面系统中卸载Java。如果由于原来应用程序的某些功能会受到影响,建议从所有浏览器中禁用Java浏览器插件,并解除.jnlp文件扩展名与Java Web Start二进制文件之间的关联。另外请把在应用程序服务器和设备上运行的各种Java和Python的应用升级到最新版本。在防火墙的所有FTP模式中,仅仅使用“被动”模式就可以了。

本文参考来源于blindspotsecurity,如若转载,请注明来源于嘶吼: http://www.4hou.com/technology/3507.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论

    天海 春香 2017-03-03 17:56

    是个好技术

    lapua 2017-03-03 11:42

    这也是没办法的办法,毕竟,java版本迭代,还有python版本迭代都是有坑的…然后,ftp协议也没法修改…但愿能换成其他协议…

      llopppp 2017-03-03 16:15

      回复 @lapua 现在FTP基本都是备选的文件整理方案了,大部分都开始线上提交…