Exchange漏洞分析：SSRF RCE

最新推荐文章于 2024-05-10 10:59:18 发布
最新推荐文章于 2024-05-10 10:59:18 发布
阅读量3.1k 收藏 3
点赞数 2
文章标签： web安全 网络安全 信息安全 渗透测试 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kali_Ma/article/details/121592564
版权

0x00 前言

在今年3月份，微软公布了多个Microsoft Exchange的高危漏洞。ProxyLogon是Exchange历史上最具影响力的漏洞之一，有上千台Exchange服务器被植入了webshell后门。

0x01 漏洞描述

CVE-2021-26855是一个SSRF漏洞，利用该漏洞可以绕过Exchange的身份验证，CVE-2021-27065是一个文件写入漏洞。二者结合可以在未登录的状态下写入webshell。

0x02 影响范围

Exchange Server 2019 < 15.02.0792.010

Exchange Server 2019 < 15.02.0721.013

Exchange Server 2016 < 15.01.2106.013

Exchange Server 2013 < 15.00.1497.012

0x03 调试环境及工具

版本
操作系统Windows Server 2012
应用名称Microsoft  Exchange Server 2016
.NET反编译调试器DnSpy
.NET反编译对比器Telerik

【一>所有资源获取<一】
1、200份很多已经买不到的绝版电子书
2、30G安全大厂内部的视频资料
3、100份src文档
4、常见安全面试题
5、ctf大赛经典题目解析
6、全套工具包
7、应急响应笔记

0x04 CVE-2021-26855 SSRF漏洞

1.    补丁查看

通过对比补丁内容，快速定位漏洞位置。

Exchange版本号查看：

打开　ExchangeManagement Shell，并执行命令：

Get-ExchangeServer | fl name,edition,admindisplayversion

image.png

版本对应关系可以在微软官网中查看：

image.png

搜索对应版本的补丁（Exchange 2016 RTM的补丁未找到，所以直接用 Exchange CU11 的补丁分析）：

image.png

下载补丁KB5000871，使用winrar解压cab文件，解压后是一个msp文件，使用7-zip 对msp格式的文件内容进行提取。

image.png

使用Telerik 对补丁内容做对比，内容有差异的dll文件如下，漏洞存在于Microsoft.Exchange.FrontEndHttpProxy.dll中：

image.png

使用Reflector对dll文件反编译并导出源码，方便对关键字进行搜索。

2.  漏洞调试

使用dnSpy对Microsoft.Exchange.FrontEndHttpProxy.dll 文件进行反编译，定位到class BEResourceRequestHandler，下断点。

image.png

点击 【调试】–>【附加到进程】 MSExchangeECPAppPool，使用ProcessExplorer查看对应的进程ID。

image.png

使用进程ID进行过滤（注：必须以管理员权限运行dnSpy，否则无法获取进程信息）。

image.png

在BackEndCookieEntryParse 的TryParse()函数下断点，bp发请求，触发断点。

image.png

image.png

首先会根据uri来判断请求的协议类型，如果请求协议为ecp，即请求uri为/ecp/。跟踪进入CanHandle（）函数，验证cookie及uri的合法性。

image.png

获取cookie中X-BEResource的值

image.png

判断uri 是否合法

image.png

uri以 js，css，html，flt，xap等后缀结尾的文件（没有验证文件是否存在）都是合法的。拼接后 /ecp/xx.(js|css) 等都是有效uri。

接着对X-BEResource的值进行处理

image.png

image.png

获取到X-BEResource的值

image.png

并使用‘~’分割得到数组array

image.png

image.png

其中array[0] 为fqdn；array[1] 为version

接着进行版本比较

image.png

image.png

如果版本的值小于 E15MinVersion，进入if判断语句，并将类成员变量ProxyToDownLevel赋值为True，之后会调用身份认证函数EcpProxyRequestHandler.AddDownLevelProxyHeaders进行身份认证，如果没有通过认证，则返回401错误。同理如果version大于E15MinVersion则跳过if判断从而绕过身份认证。

经过一系列的解析

image.png

image.png

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-582TsK39-1638085393980)(https://upload-images.jianshu.io/upload_images/26472780-8ed7d7d7dd4ed048.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)]

可以看到host的值是win2012，这个值我们可控，最后经过一系列的拼接得到AbsoluteUri的值：https://host/autodiscover/autodiscover.xml ，autodiscover.xml 文件中包含有LegacyDN 的值。

进入CreateServerRequest函数，访问uri，

image.png

进入PrepareServerRequest函数，会进行授权认证判断，

image.png

接着进入AddProtocolSpecificHeadersToServerRequest，

image.png

由于ProxyToDownLevel被置为false不会进入if语句，从而导致可以直接绕过认证，进而在未授权的状态下获取autodiscover.xml文件内容。

0x05 CVE-2021-27065 任意文件写入漏洞

在Exchange服务器上依次打开【管理中心】 à 【服务器】 à 【虚拟目录】 à 【OAB虚拟目录】。

image.png

由于外部URL的内容可控，所以可在URL写入一句话木马（其中URL必须以http开头，以保持外部URL参数的合法性）。

image.png

之后可以通过重置虚拟目录，来把配置内容写入指定的路径。

image.png

注：路径必须是UNC路径格式：\host\ShareFolder\aaa.xml

修改路径为：[\win2012.test.local\C$\test.aspx](file://win2012.test.local/C%24/test.aspx)

image.png

可以看到OAB VirtualDirectory的配置信息已经被写入 C:/test.aspx。

image.png

上述操作请求内容如下：

写入配置

POST /ecp/DDI/DDIService.svc/SetObject?schema=OABVirtualDirectory&msExchEcpCanary=pM2NWg8xu0euTUqTjiLwzquHekjm6dgIw6lt6YfDyflndCz1iGsGnnhEivzKafJL9vhOxpqYuAU.

请求中有一个关键参数msExchEcpCanary，如果没有这个参数，服务端返回500错误。这个参数的值可以利用CVE-2021-26855 SSRF漏洞通过多次请求获取。

0x06 漏洞利用过程

整个过程都是在未登录的状态下，利用SSRF漏洞访问内部资源，Cookie中的 X-BEResource字段内容为要访问的资源链接。利用过程如图：

image.png

1.    获取server name，/ecp/xx.js，cookie中 mail.skyeye.com 为目标exchange的域名；

image.png

2.    通过SSRF漏洞读取autodiscover.xml文件，获取LegacyDN的值；

image.png

3.    利用Legacy DN获取SID；

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-dY4aGMjM-1638085394017)(https://upload-images.jianshu.io/upload_images/26472780-f27bad7a187ee1c1.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)]

4.    利用SID获取Session、msExchEcpCanary；

image.png

5.    写入shell。

image.png

cookie中的 X-BEResource字段内容为利用SSRF漏洞访问的内网资源。

image.png

指定保存路径

image.png

webshell路径为：

https://[ip]/owa/auth/dkYAIm7ELFjJ3KVzXb1Q.aspx

0x07 检测修复方案

检测方案：
针对上述漏洞，微软发布了一款工具，用于帮助用户检测Exchange是否被黑客利用相关漏洞入侵。

脚本描述
EOMT.ps1通过 URL 重写配置缓解 CVE-2021-26855
ExchangeMitigations.ps1该脚本包含4个缓解措施，以帮助解决以下漏洞：cve-2021-26855、cve-2021-26857、cve-2021-27065、cve-2021-26858
http-vuln-cve2021-26855.nsenmap扫描脚本，检测指定URL是否存在CVE-2021-26855漏洞
Test-ProxyLogon.ps1该脚本检查CVE-2021-26855、26858、26857和27065漏洞是否存在被利用的迹象

修复方案：

安装微软提供的漏洞补丁，相关漏洞补丁如下：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065

kali_Ma
关注
CVE-2020-16875 Exchange RCE漏洞
谢公子的博客
07-23 6977
漏洞背景 2020年09月08日微软发布漏洞通告：CVE-2020-16875 | Microsoft Exchange Server 远程执行代码漏洞 由于对cmdlet参数的验证不正确，Microsoft Exchange服务器中存在一个远程执行代码漏洞。成功利用此漏洞的攻击者可以在系统用户的上下文中运行任意代码。利用该漏洞，攻击者可从特定 Exchange 用户提升到操作系统 SYSTEM 权限，攻击者首先需获得特定权限的邮箱用户(拥有Data Loss Prevention角色权限的用户)，该用
Exchange ProxyLogon远程代码执行漏洞(CVE-2021-27065)和勒索病毒BlackKingdom家族
不忘初心，护天下安全！
04-29 2265
Microsoft Exchange Server远程代码执行(RCE)/ProxyLogon(CVE-2021-27065)和勒索病毒BlackKingdom
Exchange漏洞
Fiverya的博客
02-07 2555
Exchange漏洞
EXCHANGE上冒充任意用户--Exchange Server权限提升漏洞(CVE-2018-8581)分析
weixin_30929011的博客
06-18 358
0x00 前言 这是我们2018年Top 5趣案系列中的第三个案例。这些漏洞都有一些因素使它们从今年发布的大约1，400个报告中脱颖而出。今天我们将分析一个Exchange漏洞，它允许任何经过身份验证的用户冒充Exchange Server上的其他用户。 在ZDI的Dustin Childs 12月的文章中，他提到了一个Exchange漏洞，允许Exchange服务器上的任何用户冒充该Exc...
CVE-2021-26855：Exchange SSRF致RCE复现
m0_48520508的博客
04-21 1258
0x00 简介 Exchange Server是微软公司的是一套电子邮件服务组件，是个消息与协作系统，主要提供包括从电子邮件、会议安排、团体日程管理、任务管理、文档管理、实时会议和工作流等协作应用。 0x01 漏洞概述 该漏洞是Exchange中的服务端请求伪造漏洞（SSRF），利用此漏洞的攻击者能够发送任意HTTP请求并绕过Exchange Server身份验证，远程未授权的攻击者可以利用该漏洞以进行内网探测，并可以用于窃取用户邮箱的全部内容。 危害：该漏洞是Exchange中的服务端请求伪造漏洞（SS.
CVE-2021-26855 Exchange Server SSRF致RCE漏洞复现
m0_56642842的博客
08-05 760
0x00 简介 Exchange Server 是Mirosoft的一个消息与协作系统，可以用来构架用于企业或学校的邮件系统或免费邮件系统。它提供了包括从电子邮件、会议安排、团体日程管理、任务管理、文档管理实时会议和工作流等丰富的协作应用，而所有应用支持Internet浏览器来访问。 0x01 漏洞概况 该漏洞可在Exchange中构造SSRF漏洞，攻击者可以利用该漏洞构造任意HTTP请求并绕过EXchange Server身份验证，从而利用该漏洞窃取用户邮箱中的内容或进行内网探测。 0x02 影响版本
微软Exchange Server 0Day漏洞，尽快修复
u012288737的博客
10-01 1838
微软Exchange Server 0Day漏洞 2022 年 9 月 30 日更新：Microsoft 正在调查两个报告的影响 Microsoft Exchange Server 2013、Exchange Server 2016 和 Exchange Server 2019 的零日漏洞。第一个漏洞被识别为CVE-2022-41040，是一个服务器端请求伪造 (SSRF) 漏洞，另一个是标识为CVE-2022-41082，当攻击者可以访问 PowerShell 时允许远程代码执行 (RCE)。
Zimbra CVE-2019-9670 XXE + CVE-2019-9621 SSRF 漏洞复现
部分学习记录
03-12 2371
炒冷饭复现：cve-2019-9670 xxe + cve-2019-9621 ssrf
Microsoft_Exchange_Server_SSRF_CVE-2021-26855:Microsoft Exchange Server SSRF防御（CVE-2021-26855）
03-08
Microsoft_Exchange_Server_SSRF_CVE-2021-26855 zoomeye dork：app：“ Microsoft Exchange Server” 使用Seebug工具箱及pocsuite3编写的脚本 ，对近一年的数据进行探测： 成功率大约：1500/5000 = 30％
exchange-ssrf-rce:交换服务
03-15
用法 python3 .\exchange-exp.py 使用方式: python PoC.py <target> <email> 使用方式: python PoC.py mail.exchange.cn administrator@exchange.cn PS C:\> python3 .\exchange-exp.py mail.exchange.cn administrator@exchange.cn [*] Getting ComputerName and DomainName [+] domain : xxx-xxxx | [+] computer : xxx.xxx-xxxx.xxx | [*] Getting LegacyDN [+] LegacyDN : /o=SCHMIDT-STEUER/ou=Exchange Administrative Group (FYDI
检测通过“ proxylogon”组漏洞（CVE-2021-26855，CVE-2021-26857，CVE-2021-26858，CVE-2021-27065）利用的Microsoft Exchange服务器上掉落的Web Shell-.NET开发
05-27
检测0天威胁后在Microsoft Exchange服务器上丢弃的Webshel​​l此脚本查找0天威胁后在Microsoft Exchange服务器上丢弃的Webshel​​l此脚本查找Microsoft Exchange服务器上易受以下CVE攻击的Webshel​​l： -2021-26855，预认证SSRF，CVSS：3.0 9.1 / 8.4 CVE-2021-26857，不安全的反序列化导致特权升级到SYSTEM级别，CVSS：3.0 7.8 / 7.2 CVE-2021-26858，认证后文件写入， CVSS：3.0 7.8 / 7.2 CVE-2021-27065，认证后文件写入，CVSS：3.0 7.8 / 7.2在Januar期间的初始活动
微软Exchange服务漏洞被利用，黑客喜好植入Hive勒索软件和后门
anquanjishu的博客
04-21 8569
2021年10月后，Hive勒索软件支持Linux和FreeBSD后，一度成为攻击频率最高的勒索软件之一。
漏洞分析的目的是发现/漏洞分析报告-零基础攻防笔记
最新发布
程序员六七的博客
05-10 576
0x00 前言在今年3月份，微软公布了多个 的高危漏洞。是历史上最具影响力的漏洞之一，有上千台服务器被植入了后门。0x01 漏洞描述CVE-2021-
CVE-2022-41082：Microsoft Exchange 反序列化类型混淆 RCE 漏洞简单分析
CuiXY's Blog
10-23 1147
内嵌对象处理完成之后，接下来进一步反序列化 ServiceController 对象，但由于 ServiceController 在 types.ps1xml 中并没有定义 TargetTypeForDeserialization 信息，所以会在 Props 标签内嵌的 obj 中寻找 TargetTypeForDeserialization 属性，从而将反序列化的属性定义为 XamlReader，然后就会调用其 Parse 方法反序列化 S 标签中的数据。
OSCS开源安全周报第13期：Exchange 高危漏洞公开
OSCS开源安全社区
10-10 3903
OSCS 社区共收录安全漏洞31个，公开漏洞值得关注的是 Apache Commons JXPath 存在代码执行漏洞（CVE-2022-41852），Microsoft Exchange 远程代码执行漏洞(ProxyNotShell（CVE-2022-41040），Apache Tomcat 条件竞争漏洞（CVE-2021-43980），FasterXML jackson-databind 小于2.14.0-rc1拒绝服务漏洞（CVE-2022-42003）。
Microsoft Exchange 高危漏洞合集
02-06 941
Microsoft Exchange任意用户伪造漏洞(CVE-2018-8581) 参考链接：https://blog.51cto.com/13741006/2347487?from=timeline CVE-2019-1040 Exchange服务远程代码执行漏洞复现(CVE-2020-0688) 参考文章：http://www.fr1sh.com/?post=24 Microsoft...
CVE-2020-17144 Exchange远程代码执行漏洞复现
K8哥哥
12-10 3089
漏洞简介 漏洞是由程序未正确校验cmdlet参数引起。经过身份验证的攻击者利用该漏洞可实现远程代码执行。 该漏洞和 CVE-2020-0688 类似，也需要登录后才能利用，不过在利用时无需明文密码，只要具备 NTHash 即可。除了常规邮件服务与 OWA外，EWS接口也提供了利用所需的方法。漏洞的功能点本身还具备持久化功能。 影响版本 Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 31 EXP用法 条件: Exchange2010;
利用编程语言漏洞：SSRF全攻略与案例分析
首先，文章从SSRF的定义开始，指出这是一种利用服务器的网络能力，通过发送请求到非预期的外部或内部服务的漏洞。这种攻击方式可以绕过防火墙，触及通常不可见的内网资源，甚至可能影响企业内部的敏感服务，如Struts...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值