Comment effectuer une analyse approfondie du processus d'exploitation de la vulnérabilité d'élévation des privilèges du composant HTTP Apache-Sécurité-php.cn

Apache HTTP s'est avéré présenter une vulnérabilité d'élévation de privilèges locale (CVE-2019-0211). L'auteur de la vulnérabilité a immédiatement fourni le WriteUp et l'EXP de la vulnérabilité. Voici les notes. de l'analyse que j'ai compilée et partagée, en espérant qu'elle sera utile à tout le monde pour comprendre cette vulnérabilité. Le contenu suivant explique principalement étape par étape les étapes d'exécution d'EXP, et explique également en détail plusieurs points difficiles à comprendre dans le processus d'utilisation.

1. Cause de la vulnérabilité

L'auteur a déjà présenté le code qui a causé la vulnérabilité dans WriteUp. Je ne le mentionnerai que brièvement ici et j'omettra la plupart du code source pour réduire la charge de lecture.

En mode préfork MPM d'Apache, le processus du serveur principal s'exécute avec les privilèges root et gère un pool de processus de travail (worker) à faible privilège pour le traitement des requêtes HTTP. La communication entre le processus principal et les travailleurs se fait via une mémoire partagée (SHM).

1. Lorsque le serveur Apache httpd redémarre correctement (gracieusement), le processus principal httpd tuera les anciens travailleurs et les remplacera par de nouveaux travailleurs, qui appelleront la fonction prefork_run() pour générer de nouveaux travailleurs. : prefork_run()函数产生新的worker：

//server/mpm/prefork/prefork.c
static int prefork_run(apr_pool_t *_pconf, apr_pool_t *plog, server_rec *s)
{
  /* ... */   
  make_child(ap_server_conf, child_slot,
             ap_get_scoreboard_process(child_slot)->bucket);
  /* ... */
}

Copier après la connexion

2.在该函数中调用make_child()，并使用ap_get_scoreboard_process(child_slot)->bucket作为参数。make_child()函数会创建新的子进程，同时根据bucket索引读取all_buckets数组到my_bucket：

//server/mpm/prefork/prefork.c
static int make_child(server_rec *s, int slot, int bucket)
{
  /* ... */
  my_bucket = &all_buckets[bucket];
  /* ... */  
  child_main(slot, bucket);
  /* ... */

Copier après la connexion

3.调用child_main()，如果Apache侦听多个端口，那么SAFE_ACCEPT()宏中的<code>将会执行，这里apr_proc_mutex_child_init()将会执行：</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">//server/mpm/prefork/prefork.c static void child_main(int child_num_arg, int child_bucket) { /* ... */ status = SAFE_ACCEPT(apr_proc_mutex_child_init(&my_bucket->mutex, apr_proc_mutex_lockfile(my_bucket->mutex), pchild)); /* ... */</pre><div class="contentsignin">Copier après la connexion</div></div> <p>4.上述函数进一步调用(*mutex)->meth->child_init(mutex, pool, fname):</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">//apr-1.7.0 //locks/unix/proc_mutex.c APR_DECLARE(apr_status_t) apr_proc_mutex_child_init(apr_proc_mutex_t **mutex, const char *fname, apr_pool_t *pool) { return (*mutex)->meth->child_init(mutex, pool, fname); }</pre><div class="contentsignin">Copier après la connexion</div></div> <p>整个简化的流程如下：</p> <div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">prefork_run() make_child(bucket) my_bucket = &all_buckets[bucket]; child_main(bucket) SAFE_ACCEPT(apr_proc_mutex_child_init) apr_proc_mutex_child_init(my_bucket->mutex) mutex->meth->child_init(&my_bucket->mutex)//覆盖child_init()的指针来指向代码</pre><div class="contentsignin">Copier après la connexion</div></div> <p>如果我们在共享内存中伪造一个<code>prefork_child_bucket结构（即all_buckets数组的元素），并修改all_buckets数组的索引bucket，就可以在第三行处的代码控制my_bucket指向该结构。

进而在后续代码执行my_bucket->mutex->meth->child_init(mutex, pool, fname)，meth结构包含指向多个函数的指针，因此，将其中的child_init函数的指针覆盖为我们想要执行函数的指针，就可以达到漏洞利用的目的，并且此时进程还是处于root权限的，后面才降低自身的权限。

二、漏洞利用

作者在其WriteUp将利用过程分为四个步骤，但实际的exp要比他写得更繁琐一点，在顺序上也稍微有些不同。以下是根据exp执行步骤整理的流程，补充了一些细节：

利用PHP读取worker的/proc/self/maps文件，进而定位一些漏洞利用所需模块和函数的地址
枚举/proc/*/cmdline和/proc/*/status文件，得到所有worker进程的PID
利用一个PHP的UAF漏洞，在worker进程中获取读/写SHM的权限
遍历Apache的内存，根据内存模式匹配找到与all_buckets数组地址
因为优雅重启后，all_buckets的位置会改变，因此需要计算一个"适当"的bucket索引，保证all_buckets[bucket]仍然指向伪造的prefork_child_bucket结构
在SHM中构造payload
喷射payload之后剩余的SHM区域，确保第5步中all_buckets[bucket]指向这片区域后，能转跳到payload
将process_score->bucket修改为第5步中计算的bucket。此外为了进一步提高成功率，还可以枚举SHM区域所有的process_score结构，将每个worker的process_score->pid与第2步得到的PID的相比较，匹配上的就是正确的process_score结构，将每个worker的process_score->bucket都进行修改。
等待Apache优雅重启触发漏洞（每天早上6:25会自动执行，也可手动重启验证结果）

具体的细节如下图：

如何进行Apache HTTP组件提权漏洞利用过程深度分析

2.1 exp概述

get_all_addresses()、get_workers_pids()函数分别取得几个关键内存地址、worker的PID放入全局变量$addresses和$worker_pids中，以便在随后的利用中使用。需要注意如果执行exp时无法解析shm和apache的地址，可能是因为你的环境中shm的大小与exp中查找的范围不一致，可以自己查看一下maps文件，然后修改if ($msize >= 0x10000 && $msize <= 0x16000)

<?php
function real()
{
  global $y;
  $y = [new Z()];
  json_encode([0 => &$y]);
}

class Z implements JsonSerializable
{
  public function jsonSerialize()
  {
    ...
  }
  ... 
}  

...

function get_all_addresses()
{
  ...  
}  
function get_workers_pids()
{
  ...  
}  

$addresses = get_all_addresses();
$workers_pids = get_workers_pids();
real();</code></p>2. Appelez make_child() dans cette fonction et utilisez ap_get_scoreboard_process(child_slot)->bucket comme paramètre. La fonction make_child() créera un nouveau processus enfant et lira le tableau all_buckets dans my_bucket en fonction de l'index du bucket : 🎜<div class="code" style="position:relative; padding:0px; margin:0px;"><pre class="brush:php;toolbar:false">class Z implements JsonSerializable
{
  public function jsonSerialize()
  {
    global $y, $addresses, $workers_pids;
    ...
    $this->abc = ptr2str(0, 79);      //ptr2str在这里等同于创建一个字符串
    ...
    unset($y[0]);
    ...
    $x = new DateInterval('PT1S');
    ...
  }
}

Copier après la connexion