Drupal Contextual Link RCE

Drupal · 發表 2018-11-13 18:44:45

摘要： 0x00 參考連結官方預警：https://www. drupal.org/sa-core-2018 -006 commit：https:// github.com/drupal/drupa l/commit/c8f0c39ca488cc2...

0x00 參考連結

官方預警： ofollow,noindex"> https://www. drupal.org/sa-core-2018 -006
commit：
https:// github.com/drupal/drupa l/commit/c8f0c39ca488cc29ed575b61c0acf45845d8efed#diff-483e0dea92d8d5caf8024c4a621b9ef5R374

0x01 前言

10 月 17 日，Drupal 官方釋出安全更新 SA-CORE-2018-006 ，修復了 5 個安全漏洞，其中包括 2 個高危漏洞和 3 箇中危漏洞。其中 2 個高危漏洞為遠端程式碼執行漏洞。

這裡對其中 Drupal 8 Contextual Links 驗證問題導致遠端程式碼執行的漏洞進行復現。

根據官方漏洞簡要說明得知該漏洞首先需要擁有 Contextual Links 模組的許可權，並且由於對請求的links缺乏很好的驗證導致了rce。

檢視commit內容，懷疑如下內容為漏洞入口

0x02 環境搭建

通過如下命令搭建好drupal 8.5.2版本。

根據許可權要求登入管理賬號新增 Contextual Links 模組許可權，之後退出賬號。

0x03 過程除錯

配置好代理burpsuite後，訪問主頁可抓取到如下請求。

在 core/modules/contextual/src/ContextualController.php 的 render 函式中掛上斷點，並只保留如下 ids 內容: ids[]=block:block=bartik_footer:langcode=en|menu:menu=footer:langcode=en

其中 #contextual_links 將會通過 _contextual_id_to_links($id) 函式獲取，函式內容如下：

該函式將會將 $id 的內容通過 | 拆分，並通過 : 分割至變數 $group , $route_parameters_raw , $metadata_raw ，之後 $route_parameters_raw , $metadata_raw 將會經過 parse_str 解析成變數，並最終賦值給 $contextual_links[$group]

這裡將 ids 內容再縮短至： ids[]=block:block=bartik_footer:langcode=en

之後進入 renderRoot

繼續跟進 executeInRenderContext 函式，其中將 $this->render($elements, TRUE) 作為回撥函式

$this->render 最終將會進入 doRender 函式。

之後經過 $this->elementInfo->getInfo 函式。

這裡主要是增加一些新屬性。

其中添加了 #pre_render 將會進入預處理 preRenderLinks

其中跟進 $contextual_links_manager->getContextualLinksArrayByGroup

這裡將會通過 $group_name 在 $this->pluginsByGroup 進行一個匹配搜尋，這裡匹配成功進入後續迴圈體。

但是這裡由於並沒有登入，所有沒有訪問許可權跳出迴圈體，導致 links 變數為空。

從而 $element['#links'] 也為空，之後進入 alter ，這裡函式內容過程，主要關注最後的 $function($data, $context1, $context2);

將會依次呼叫 contextual_contextual_links_view_alter 和 views_ui_contextual_links_view_alter

其中 contextual_contextual_links_view_alter 程式碼如下：

可以看到，當存在 $element['#contextual_links']['contextual']) 時，將會將 $element['#contextual_links']['contextual']['metadata']['contextual-views-field-links'] 內容賦值給 $element['#links'] ，這由於我們的 $element['#contextual_links']['contextual']) 沒有設定，所以 $element['#links'] 依舊為空，但是這部分我們是可控的。

之後執行完函式回到之前時，由於 $element['#links'] 為空，則設定 $element['#printed'] = TRUE;

這將導致返回空字串內容。

0x04 控制 $element['#links'] 變數

所以我們可通過設定 $element['#contextual_links']['contextual']) 以及 $element['#contextual_links']['contextual']['metadata']['contextual-views-field-links'] 來確保 $element['#links'] 不為空。

對照 #contextual_links 中的變數進行修改，並且 $element['#contextual_links']['contextual']['metadata']['contextual-views-field-links'] 需要為 json 格式，並且由於會通過 : 進行拆分所以 : 需要進行二次編碼。

得到 ids[]=contextual:block=bartik_footer:contextual-views-field-links={"aaa" %253A "bbb"}