CVE-2021–26855漏洞分析与复现

网安星星

于 2024-02-26 16:57:22 发布

阅读量752

点赞数 4

文章标签： web安全网络安全学习

本文链接：https://blog.csdn.net/2301_80520893/article/details/136303168

版权

前言

微软在上半年三月披露了关于Exchange邮件服务器CVE-2021–26855(SSRF)与CVE-2021–27065(任意文件写入)的漏洞,这两个漏洞配合可以造成未授权的webshell写入,是非常严重的高危漏洞。

CVE-2021–26855是⼀个SSRF,只需要能够访问Exchange服务器,攻击者可以不经过任何类型的身份验证来利⽤此漏洞。

相关漏洞在C:\Program Files\Microsoft\ExchangeServer\V15\FrontEnd\HttpProxy\bin目录下的Microsoft.Exchange.FrontEndHttpProxy.dll

进入ProxyModule类的OnPostAuthorizeRequest函数,该函数用于对post请求的安全检查,函数中继续调用了该类的OnPostAuthorizeInternal函数。

OnPostAuthorizeInternal函数中调用SelectHandlerForUnauthenticatedRequest函数,从函数名称上来看该函数作用为:寻找对未验证安全请求的处理方法。

跟进SelectHandlerForUnauthenticatedRequest函数,发现对不同的ProtocolType,生成了不同的 httpHandler。而这个ProtocolType正是url中的web子目录,比如请求/ecp/n.png,ProtocolType就是ecp。

当ProtocolType为ecp时,如果BEResourceRequestHandler类的CanHandle函数返回值为真,就会使用BEResourceRequestHandler作为处理方法。

跟进CanHandle方法。

可以看到如果要返回真,则需要同时让GetBEResouceCookie和IsResourceRequest函数同时返回值为真。跟进这两个函数。

先看GetBEResouceCookie,该函数要请求cookies中一个BEResource字段的值,实际上就是X-BEResource。

那么在cookies中设置一个X-BEResource字段的值即可。IsResourceRequest则是需要请求路径以.js,.png等结尾。

这时候回到OnPostAuthorizeInternal函数中,由于BEResourceRequestHandler是继承于ProxyRequstHandler类的,就会执行((ProxyRequestHandler)httpHandler).Run(context),最终在HttpContext.RemapHandler中把该httpHandler设置给this._remapHandler，即是context.Handler。

又调用了Handler.BeginProcessRequest(),此时Handler为BEResourceRequestHandler,该类没有BeginProcessRequest函数,但却继承了ProxyRequestHandler。因此实际上调用的是ProxyRequestHandler.BeginProcessRequest()函数。

BeginProcessRequest函数创建线程调用ProxyRequestHandler.BeginCalculateTargetBackEnd函数。该函数作用是根据Cookie中的X-BEResource字段来判断与生成指向BackEnd的目标url。