转载

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

什么是ImageMagick

ImageMagick是一个免费的创建、编辑、合成图片的软件。它可以读取、转换、写入多种格式的图片。图片切割、颜色替换、各种效果的应用，图片的旋转、组合，文本，直线，多边形，椭圆，曲线，附加到图片伸展旋转。

在本周二，ImageMagick披露出了一个严重的0day漏洞，此漏洞允许攻击者通过上传恶意构造的图像文件，在目标服务器执行任意代码。Slack安全工程师Ryan Hube发现了这一0day漏洞。相关报道

漏洞分析

这次披露的是ImageMagick的一个命令执行漏洞。首先定位到最终漏洞代码执行的地方,老外给出的poc是在一个文件内填充以下字符命名为`.mvg`格式

“`

push graphic-context

viewbox 0 0 640 480

fill’url( https://example.com/image.jpg “ls “-la)’

pop graphic-context

“`

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

POC执行效果如上图所示,可以执行mvg中注入的命令

我以POC为一个切入点,分析POC的执行过程。

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

首先从入口函数CovertMain()开始,在第81行MagickCommandGenesis()的第二个参数传入了ConvertImageCommand这个变量,这个变量是一个函数指针,指向了ConvertImageCommand()的函数首地址。所以MagickCommandGenesis()实现了函数的动态调用(非常好的写法)。

文件:wand/delegate.c:417行

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

的函数ExternalDelegateCommand()中调用了system()函数，执行了我们注入的命令。

整个执行流程是

``` ConvertMain() -> MagickCommandGenesis()-> ConvertImageCommand() -> ReadImages() -> ReadImage() ->ReadMVGImage() -> DrawImage() ->ReadImage() -> InvokeDelegate() -> system() ```

ConvertImageCommand() -> ReadImages()-> ReadImage()

这一段主要做了读取判断文件名类型,根据文件类型调用相应的decoder,而调用decoder的方式使用的是delegate模式。

在coders/mvg.c:67行中

有一个IsMVG()函数

``` if (LocaleNCompare((const char *)magick,"push graphic-context",20) == 0)    return(MagickTrue); ```

这一段读取了文件前20个字符，判断是否是一个MVG格式的图片,

`viewbox 0 0 640 480`主要由`文件:coders/mvg.c

*/
   while (ReadBlobString(image,primitive) != (char *) NULL)
   {
     for (p=primitive; (*p == ' ') || (*p == '/t'); p++) ;
     if (LocaleNCompare(BoundingBox,p,strlen(BoundingBox)) != 0)
       continue;
     (void) sscanf(p,"viewbox %lf %lf %lf %lf",&bounds.x1,&bounds.y1,
       &bounds.x2,&bounds.y2);
     image->columns=(size_t) floor((bounds.x2-bounds.x1)+0.5);
     image->rows=(size_t) floor((bounds.y2-bounds.y1)+0.5);
     break;
   }
 }

这一段代码处理。

处理`fill`字段就是出问题的地方, 当mvg文件有`fill`字段代表需要填充外部的图片进当前的图片,`pattern_info->filename`就是从`fill｀中解析出来的填充文件的字符串

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

`magick/delegate.c`

中的InvokeDelegate()进行了调用了ExternalDelegateCommand()执行外部命令。

题外话：可以看出来这个功能使用了delegate代理模式(对方法的封装)

在调用前实际上是对当前种类的请求方法,相应的权限进行了判断

``` if(IsRightsAuthorized(domain,rights,read_info->magick) == MagickFalse)   {    errno=EPERM;    (void) ThrowMagickException(exception,GetMagickModule(),PolicyError,      "NotAuthorized","`%s'",read_info->filename);    read_info=DestroyImageInfo(read_info);    return((Image *) NULL);   } ```

并不是像网上说的这个程序一点安全都没有做

并且在`delegate.c`中也有对权限的检测。

``` if (IsRightsAuthorized(DelegatePolicyDomain,rights,encode)== MagickFalse)   {    errno=EPERM;    (void) ThrowMagickException(exception,GetMagickModule(),PolicyError,      "NotAuthorized","`%s'",encode);    return(MagickFalse);   } ```

并且在`delegate.c`中定义了合法字符的白名单,问题有一部分出在白名单这。

``` static char  whitelist[] =    "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_-"    ".@&;<>()|////'/":%=~`"; ... for (p+=strspn(p,whitelist); p != q;p+=strspn(p,whitelist))  *p='_'; return(sanitize_command); ```

我们可以看到不在白名单中的字符全部会被替换成_,但是官方却把`|`和`;`放在了白名单中,导致了可以执行多个命令…….

修复方式

所以,经过以上的流程分析,可以有两种修复方法：

1.设置`Policy`文件

policy.xml

```                                           ```

[来自imagetragick.com]( https://imagetragick.com/ )]

2.如果不需要一些不常用的delegate里面的功能只保留https这个功能的话,去掉whitelist[]里面的管道符号`|`，还有`;`号等特殊符号,https这个delegate就可以正常使用了

复现之前的exploit可以看到去掉白名单里面的`;`和`|`之后,命令执行已经不成功了:/

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

相应的,想要发掘对应的delegate可以有什么样的利用,可以看以下具体的委托

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

原文 http://www.freebuf.com/vuls/104048.html

正文到此结束

所属分类：编程技术

本文标签： ip 解析 src db HTML lib 服务器代码 example 漏洞参数 map 软件安全 list 免费 XML Office https DOM http
版权声明： 本文为互联网转载文章，出处已在文章中说明(部分除外)。如果侵权，请联系本站长删除，谢谢。
本文海报： 生成海报一生成海报二

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

ImageMagick（CVE-2016-3714）执行过程，漏洞分析以及修复方案

什么是ImageMagick

漏洞分析

修复方式

热门推荐

相关文章

说给你听

本文目录

随机标签

书籍教程

近期评论

网站信息

其他链接

关于本站

问题交流