http://p4.qhimg.com/t013b93a1f679d75675.jpg

 


一、前言


Python中负责解压压缩文件的代码实现上并不安全,存在目录遍历漏洞,攻击者可以利用该漏洞覆盖__init__.py文件,实现任意代码执行。

在PHP中,实现代码执行最为简单的一种方式就是利用PHP中不安全的文件上传处理逻辑。如果你可以欺骗文件上传逻辑,上传任意PHP文件,那么你就可以执行任意PHP代码。然而,如果我们面对的是使用Go、Node.js、Python、Ruby等编写的现代Web框架时,情况会有所变化。这种情况下,即使我们把.py或者.js文件成功上传到服务器上,通过URL请求这些文件通常并不会返回任何结果,因为目标应用程序并没有开放相应的路由或者URL渠道。即使我们可以通过URL来访问这些资源,也不会触发任何代码执行动作,因为服务器会把这些文件当作静态文件,以文本形式返回这些文件的源代码。在本文中,我们会介绍如何在Python构造的Web环境中实现代码执行,前提是我们可以将压缩文件上传到服务器。

简而言之,Web应用中的安全规则就是永远不要信任用户的输入,这个原则不仅仅局限于原始的HTTP请求对象范围(如查询参数、具体post的内容、文件、头部信息等)。精心构造的压缩文件虽然看起来人畜无害,但如果负责解压此类文件的代码本身并不安全,那么这种文件就会带来安全风险。本文介绍了这类漏洞的细节及利用方法,具体灵感源自于MobSF上的一份安全漏洞报告。首先,让我们先来研究一下不安全的代码。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
def unzip(zip_file, extraction_path):
    """
    code to unzip files
    """
    print "[INFO] Unzipping"
    try:
        files = []
        with zipfile.ZipFile(zip_file, "r") as z:
            for fileinfo in z.infolist():
                filename = fileinfo.filename
                dat = z.open(filename, "r")
                files.append(filename)
                outfile = os.path.join(extraction_path, filename)
                if not os.path.exists(os.path.dirname(outfile)):
                    try:
                        os.makedirs(os.path.dirname(outfile))
                    except OSError as exc:  # Guard against race condition
                        if exc.errno != errno.EEXIST:
                            print "\n[WARN] OS Error: Race Condition"
                if not outfile.endswith("/"):
                    with io.open(outfile, mode='wb') as f:
                        f.write(dat.read())
                dat.close()
        return files
    except Exception as e:
        print "[ERROR] Unzipping Error" + str(e)

这段python代码非常简单,可以解压zip文件并返回归档文件中包含的文件列表。文件上传操作结束后,服务器会收到zip文件,然后将zip文件发送给unzip()进行解压。如果你观察这行代码:

1
outfile = os.path.join(extraction_path, filename)

你会发现用户可以控制其中的filename变量。如果我们将filename的值设为“../../foo.py”,代码运行结果如下所示:

1
2
3
4
5
6
7
8
9
>>> import os
>>> extraction_path = "/home/ajin/webapp/uploads/"
>>> filename = "../../foo.py"
>>> outfile = os.path.join(extraction_path, filename)
>>> outfile
'/home/ajin/webapp/uploads/../../foo.py'
>>> open(outfile, "w").write("print 'test'")
>>> open("/home/ajin/foo.py", "r").read()
"print 'test'"

利用这个路径遍历漏洞,我们可以将文件写入任意位置。在这种情况下,我们成功将文件写入“/home/ajin”目录,并没有写在当前的“/home/ajin/webapp/uploads/”目录中。


二、任意代码执行


我们已经可以将python代码写到任意目录中。现在,我们来研究一下如何执行这段代码。我们可以使用存在漏洞的这个应用作为实验对象,该应用使用Python Flask开发。具体的原理是利用Python中的“__init__.py”实现代码执行。Python的官方文档中有这样一段话:

“如果某个目录想成为Python中的包,那么该目录中就需要包含__init__.py文件,这样就能避免模块搜索时把目录名为常用字符串(如string)的那些目录包含进来。在最简单的情况下,__init__.py可以是个空文件,也可以用来执行包中的初始化代码或者设置__all__变量,稍后会继续描述。”

根据这段表述,假设Web应用将某个目录当成Python包,如果我们使用任意Python代码覆盖该目录中的__init__.py文件,当目标应用导入这个包时,就会执行我们的代码。通常i情况下,为了顺利执行代码,我们需要重启服务器。在本文案例中,我们的实验目标为一个Flask服务器,并且启用了debug功能(debug设为True),这意味着只要Python文件发生改动,服务器就会重启。


三、构造Payload


存在漏洞的这个Web应用有个名为config的目录,该目录中包含__init__.py以及settings.py文件。主功能文件server.py会从config目录中导入settings.py文件,这意味着如果我们可以将代码写入到config/__init__.py,我们就可以实现代码执行。我们可以使用如下代码构造攻击载荷:

1
2
3
4
5
6
import zipfile
z_info = zipfile.ZipInfo(r"../config/__init__.py")
z_file = zipfile.ZipFile("/home/ajin/Desktop/bad.zip", mode="w")
z_file.writestr(z_info, "print 'test'")
z_info.external_attr = 0777 << 16L
z_file.close()

查看负责文件上传的代码时, 你会看到上传的文件被解压到uploads目录中。我们可以利用zipfile.ZipInfo()语句构造恶意文件名。这里我们需要将文件名设为“../config/__init__.py”,以覆盖config目录中的__init__.py文件。z_info.external_attr = 0777 << 16L这条语句会将文件权限设为所有人可读可写权限。现在,我们来创建一个zip文件,将其上传到目标应用中。

我们可以看到Flask应用开始重载,然后服务器上的控制台会打印出“test”字符串。看来我们已经实现代码执行目的。


四、攻击实际环境中的应用


前面这个案例中,由于Flask服务器运行在debug模式下,因此会立即执行任意代码。实际环境中情况可能不会完全一致。你可能需要等待一段时间,直至服务器重启为止。另一个问题是,我们并不能每次都知道目标应用使用的包的具体路径(本例中为config目录)。如果目标使用的是开源项目,通过阅读源代码我们很容易就能得到这些信息。对于闭源应用来说,我们可以猜测比较常见的包目录,如conf、config、settings、utils、urls、view、tests、scripts、controllers、modules、models、admin、login等。这些包目录经常出现在某些Python Web框架中,如Django、Flask、Pyramid、Tornado、CherryPy、web2py等。

换个思路,假设目标Web应用运行在Ubuntu Linux系统之上,这种情况下,已安装的、内置的Python包位于/home/<user>/.local/lib/python2.7/site-packages/pip目录中。假设目标应用运行在用户目录中,那么我们就可以构造类似“../../.local/lib/python2.7/site-packages/pip/__init__.py”之类的文件名。文件完成解压后,利用这个文件名就可以在pip目录中生成__init__.py文件。如果目标应用使用的是virtualenv,假设virtualenv的目录为venv,那么我们就可以使用类似“../venv/lib/python2.7/site-packages/pip/__init__.py”之类的文件名。这样处理后pip会受到影响,但下次服务器上的用户运行pip命令时,就会执行我们的代码。


五、演示视频



六、预防措施


为了防御这个漏洞,你需要使用ZipFile.extract()来解压文件。zipfile文档中有这样一段话:

“如果待处理文件使用的是绝对路径,那么路径中包含的驱动、UNC字符以及前缀(后缀)斜杠会被过滤掉,例如,在Unix上,///foo/bar经过处理后会变为foo/bar,在Windows上,C:\foo\bar经过处理后会变为foo\bar。文件名中包含的所有“..”字符会被移除,例如,../../foo../../ba..r会变成foo../ba..r。在Windows上的非法字符(:、<、>、|、"、?、以及*)会被替换为下划线(_)”。



本文由 安全客 翻译,作者:興趣使然的小胃

原文链接:https://ajinabraham.com/blog/exploiting-insecure-file-extraction-in-python-for-code-execution