渗透测试 - 黑客技术 | Confluence未授权 RCE (CVE-2019-3396) 漏洞分析

看到官方发布了预警，于是开始了漏洞应急。漏洞描述中指出Confluence Server与Confluence数据中心中的Widget连接器存在服务端模板注入漏洞，攻击者能利用此漏洞能够实现目录穿越与远程代码执行。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

确认漏洞点是Widget Connector，下载最新版的比对补丁，发现在com\atlassian\confluence\extra\widgetconnector\WidgetMacro.java里面多了一个过滤，这个应该就是这个漏洞最关键的地方。

可以看到

this.sanitizeFields = Collections.unmodifiableList(Arrays.asList(VelocityRenderService.TEMPLATE_PARAM));

而TEMPLATE_PARAM的值就是_template，这个所以就是补丁了过滤传入外部的_template参数。

public interface VelocityRenderService { public static final String WIDTH_PARAM = "width"; public static final String HEIGHT_PARAM = "height"; public static final String TEMPLATE_PARAM = "_template";

翻了一下Widget Connector里面的文件，发现TEMPLATE_PARAM就是模板文件的路径。

public class FriendFeedRenderer implements WidgetRenderer { private static final String MATCH_URL = "friendfeed.com"; private static final String PATTERN = "friendfeed.com/(\\w+)/?"; private static final String VELOCITY_TEMPLATE = "com/atlassian/confluence/extra/widgetconnector/templates/simplejscript.vm"; private VelocityRenderService velocityRenderService;
...... public String getEmbeddedHtml(String url, Map<String, String> params) {
        params.put(VelocityRenderService.TEMPLATE_PARAM, VELOCITY_TEMPLATE); return velocityRenderService.render(getEmbedUrl(url), params);
    }

加载外部的链接时，会调用相对的模板去渲染，如上，模板的路径一般是写死的，但是也有例外，补丁的作用也说明有人突破了限制，调用了意料之外的模板，从而造成了模板注入。

在了解了补丁和有了一些大概的猜测之后，开始尝试。

首先先找到这个功能，翻了一下官方的文档，找到了这个功能，可以在文档中嵌入一些视频，文档之类的。

看到这个，有点激动了，因为在翻补丁的过程中，发现了几个参数，url，width，height正好对应着这里，那_template的英文不是也。从这里传递进去的？

随便找个的Youtube视频插入试试，点击预览，抓包。

在params中尝试插入_template参数，好吧，没啥反应..

开始调试模式，因为测试插入的是的Youtube视频，所以调用的是com/atlassian/confluence/extra/widgetconnector/video/YoutubeRenderer.class

public class YoutubeRenderer implements WidgetRenderer, WidgetImagePlaceholder { private static final Pattern YOUTUBE_URL_PATTERN = Pattern.compile("https?://(.+\\.)?youtube.com.*(\\?v=([^&]+)).*$"); private final PlaceholderService placeholderService; private final String DEFAULT_YOUTUBE_TEMPLATE = "com/atlassian/confluence/extra/widgetconnector/templates/youtube.vm"; ...... public String getEmbedUrl(String url) { Matcher youtubeUrlMatcher = YOUTUBE_URL_PATTERN.matcher(this.verifyEmbeddedPlayerString(url)); return youtubeUrlMatcher.matches() ? String.format("//www.youtube.com/embed/%s?wmode=opaque", youtubeUrlMatcher.group(3)) : null;  } public boolean matches(String url) { return YOUTUBE_URL_PATTERN.matcher(this.verifyEmbeddedPlayerString(url)).matches(); } private String verifyEmbeddedPlayerString(String url) { return !url.contains("feature=player_embedded&") ? url : url.replace("feature=player_embedded&", ""); } public String getEmbeddedHtml(String url, Map<String, String> params) { return this.velocityRenderService.render(this.getEmbedUrl(url), this.setDefaultParam(params)); }

在getEmbeddedHtml下断点，会先调用getEmbedUrl对用户传入的url进行正则匹配，因为我们传入的是个正常的的Youtube视频，所以这里是没有问题的，调用然后setDefaultParam函数对传入的其他参数进行处理。

 private Map<String, String> setDefaultParam(Map<String, String> params) { String width = (String)params.get("width"); String height = (String)params.get("height"); if (!params.containsKey("_template")) { params.put("_template", "com/atlassian/confluence/extra/widgetconnector/templates/youtube.vm"); } if (StringUtils.isEmpty(width)) { params.put("width", "400px"); } else if (StringUtils.isNumeric(width)) { params.put("width", width.concat("px")); } if (StringUtils.isEmpty(height)) { params.put("height", "300px"); } else if (StringUtils.isNumeric(height)) { params.put("height", height.concat("px")); } return params; }

取出width状语从句：height来判断是否为空，为空则设置默认值。的关键_template参数来了，如果外部传入的参数没有_template，则设置默认的的Youtube模板。如果传入了，就使用传入的，也就是说，AAAA是成功的传进来了。

大概翻了一下Widget Connector里面的渲染器，大部分是不能设置_template的，是直接写死了，也有一些例外，如Youtube，Viddler，DailyMotion等，是可以从外部传入_template的。

传递能_template了，接下来看下是如何取模板和渲染模板的。

跟进this.velocityRenderService.render，就是也。com/atlassian/confluence/extra/widgetconnector/services/DefaultVelocityRenderService.class里面的render方法。

 public String render(String url, Map<String, String> params) { String width = (String)params.get("width"); String height = (String)params.get("height"); String template = (String)params.get("_template"); if (StringUtils.isEmpty(template)) { template = "com/atlassian/confluence/extra/widgetconnector/templates/embed.vm"; } if (StringUtils.isEmpty(url)) { return null; } else { Map<String, Object> contextMap = this.getDefaultVelocityContext(); Iterator var7 = params.entrySet().iterator(); while(var7.hasNext()) { Entry<String, String> entry = (Entry)var7.next(); if (((String)entry.getKey()).contentEquals("tweetHtml")) { contextMap.put(entry.getKey(), entry.getValue()); } else { contextMap.put(entry.getKey(), GeneralUtil.htmlEncode((String)entry.getValue())); } } contextMap.put("urlHtml", GeneralUtil.htmlEncode(url)); if (StringUtils.isNotEmpty(width)) { contextMap.put("width", GeneralUtil.htmlEncode(width)); } else { contextMap.put("width", "400"); } if (StringUtils.isNotEmpty(height)) { contextMap.put("height", GeneralUtil.htmlEncode(height)); } else { contextMap.put("height", "300"); } return this.getRenderedTemplate(template, contextMap); } }

_template取出来赋值给template，其他传递进来的参数取出来经过判断之后放入到contextMap，调用getRenderedTemplate函数，也就是调用VelocityUtils.getRenderedTemplate。

 protected String getRenderedTemplate(String template, Map<String, Object> contextMap){ return VelocityUtils.getRenderedTemplate(template, contextMap); }

一路调用，调用链如下图，来到求最后/com/atlassian/confluence/util/velocity/ConfigurableResourceManager.class的loadResource函数，来获取模板。

这里调用了4个ResourceLoader去取模板。

com.atlassian.confluence.setup.velocity.HibernateResourceLoader org.apache.velocity.runtime.resource.loader.FileResourceLoader org.apache.velocity.runtime.resource.loader.ClasspathResourceLoader com.atlassian.confluence.setup.velocity.DynamicPluginResourceLoader

这里主要看下速度的自带FileResourceLoader状语从句：ClasspathResourceLoader

FileResourceLoader用户会对传入的模板路径使用normalizePath函数进行校验

可以看到，过滤了/../，这样就导致没有办法跳目录了。

过滤路径后调用findTemplate查找模板，可看到，会拼接一个固定的path，这是合流的安装路径。

现在也就是说可以利用FileResourceLoader来读取合流目录下面的文件了。

读取尝试/WEB-INF/web.xml文件，可以看到，是成功的加载到了该文件。

但是这个无法跳出合流的目录，因为不能用/../。

再来看下ClasspathResourceLoader

public InputStream getResourceStream(String name) throws ResourceNotFoundException {
InputStream result = null;
if (StringUtils.isEmpty(name)) {
throw new ResourceNotFoundException(“No template name provided”);
} else {
try {
result = ClassUtils.getResourceAsStream(this.getClass(), name);
……
}

跟进ClassUtils.getResourceAsStream

 public static InputStream getResourceAsStream(Class claz, String name) { while(name.startsWith("/")) { name = name.substring(1); } ClassLoader classLoader = Thread.currentThread().getContextClassLoader(); InputStream result; if (classLoader == null) { classLoader = claz.getClassLoader(); result = classLoader.getResourceAsStream(name); } else { result = classLoader.getResourceAsStream(name); if (result == null) { classLoader = claz.getClassLoader(); if (classLoader != null) { result = classLoader.getResourceAsStream(name); } } } return result; }