NSA方程式Easybee攻擊程序漏洞復(fù)現(xiàn)與分析
影子經(jīng)紀(jì)人(Shadow Brokers)最近曝光的NSA方程式Windows攻擊程序中有一個針對Mdaemon郵件服務(wù)器漏洞的遠(yuǎn)程攻擊程序——Easybee，本文將對Easybee漏洞攻擊進(jìn)行復(fù)現(xiàn)，并分析漏洞攻擊原理。
環(huán)境搭建
Easybee是針對Mdaemon郵件服務(wù)器遠(yuǎn)程邏輯漏洞的攻擊程序，它支持對下列版本的Mdaemon服務(wù)器進(jìn)行攻擊：
- 9.5.2
- 9.6.0
- 9.6.1
- 9.6.2
- 9.6.3
- 9.6.4
- 9.6.5
- 9.6.6
- 10.0.1
- 10.0.2
- 10.0.3
- 10.0.4
- 10.0.5
- 10.1.0
- 10.1.1
- 10.1.2
我這里找到一個10.1.1版本的Mdaemon進(jìn)行測試，首先需要兩臺測試機(jī)：
- 192.168.1.3——攻擊機(jī) Win2003安裝Python，運(yùn)行Fuzzbunch
- 192.168.1.105——靶機(jī) WindowsXP安裝Mdaemon 10.1.1
在靶機(jī)上的Mdaemon中添加域名testeasybee.com，由于這個域名并沒有在互聯(lián)網(wǎng)上注冊，所以我們自己搭建一個DNS服務(wù)器，把testeasybee.com的MX記錄設(shè)置為192.168.1.105，并在192.168.1.3中設(shè)置DNS服務(wù)器為我們自己的DNS。然后在Mdaemon的testeasybee.com域名中新建用戶admin@testeasybee.com，密碼Aa654321。
漏洞利用復(fù)現(xiàn)
在攻擊機(jī)192.168.1.3中運(yùn)行Fuzzbunch攻擊框架，設(shè)置Target IP為192.168.1.105，Callback IP為192.168.1.3，Redirection為no。
新建Project設(shè)置一些log目錄之類的常規(guī)參數(shù)，然后運(yùn)行Easybee，設(shè)置攻擊參數(shù)：
具體攻擊參數(shù)的意義為：
- TargetIp —— 目標(biāo)IP地址，這里是192.168.1.105
- TargetWCPort —— WorldClient端口，默認(rèn)為3000
- TargetWAPort —— WebAdmin端口，默認(rèn)為1000
- WorldClientProtocol —— WorldClient協(xié)議，默認(rèn)為http
- WorldClientDomain —— WorldClient所屬域名，這里是testeasybee.com
- WorldClientPort —— WorldClient端口，默認(rèn)為3000
- WebAdminProtocol —— WebAdmin協(xié)議，默認(rèn)為http
- WebAdminDomain —— WebAdmin所屬域名，這里是testeasybee.com
- WebAdminPort —— WebAdmin端口，默認(rèn)為1000
- TargetAcctDomain —— 目標(biāo)域名，testeasybee.com
- TargetAcctUsr —— 目標(biāo)賬號，這里是admin
- TargetAcctPwd —— 賬號密碼，這里是Aa654321
- TargetAcctIsAdmin —— 賬號是否為管理員，這里是yes
- CFEmailFrom —— 用于觸發(fā)內(nèi)容過濾器的發(fā)件人，我是自己發(fā)給自己就寫admin@testeasybee.com
- CFEmailSubj —— 用于觸發(fā)內(nèi)容過濾器的郵件標(biāo)題，隨便寫xxxooo
- CFEmailFile —— 用于觸發(fā)內(nèi)容過濾器的附件名，這個要求是允許的附件類型，最好是.txt類型
- AREmailFrom —— 同CFEmailFrom即可
- AREmailSubj —— 發(fā)送郵件標(biāo)題，隨便寫hahahoho
- PTEmailFrom —— 同CFEmailFrom即可
- PTEmailSubj —— 同AREmailSubj即可
- PayloadName —— 上傳到服務(wù)器運(yùn)行的文件名，隨便寫個t.exe即可
- PayloadFile —— 要上傳的木馬程序，我這里只是測試就傳個計(jì)算器，寫C:\windows\system32\calc.exe
- WorldClientVersion —— Mdaemon的版本，我這里選10.1.1execute之后，經(jīng)過一系列的攻擊，最終攻擊成功。
我們看一些靶機(jī)上面，我們上傳的計(jì)算器已經(jīng)成功執(zhí)行。
如果Mdaemon是以服務(wù)形式運(yùn)行，那么它的子進(jìn)程都是SYSTEM權(quán)限且沒有圖形界面，但是計(jì)算器也能成功運(yùn)行。
漏洞分析
經(jīng)過分析發(fā)現(xiàn)，這個漏洞是Mdaemon的Auto Responder(自動應(yīng)答器)和Content Filter(內(nèi)容過濾器)的一個邏輯漏洞，具體漏洞利用的步驟是：
1. 通過HTTP協(xié)議訪問目標(biāo)3000端口的WorldClient，POST用戶名密碼進(jìn)行登錄，通過返回Cookie解析出WCSESSIONID
2. 通過HTTP協(xié)議訪問目標(biāo)1000端口的WebAdmin，POST用戶名密碼進(jìn)行登錄，通過返回Cookie解析出WASESSIONID
3. 通過訪問WebAdmin的如下URL獲取Auto Responder是否開啟
http://192.168.1.105:1000/useredit_autoresp.wdm?accountedit=1&user=admin@testeasybee.com
4. 通過POSTXML的方式修改用戶自動應(yīng)答所執(zhí)行的腳本
運(yùn)行到這里我們看到自動應(yīng)答已經(jīng)被添加了命令執(zhí)行：
這樣一來，每次收到郵件就會把郵件內(nèi)容中@@后面內(nèi)容當(dāng)做CMD命令來執(zhí)行
5. 以POST方式通過WorldClient發(fā)送一封郵件給admin@testeasybee.com去觸發(fā)自動應(yīng)答的處理命令，內(nèi)容是一系列以@@開頭的CMD命令：
這段批處理依次執(zhí)行下面命令：
1)從目標(biāo)郵箱目錄下找到對應(yīng)的郵件.msg文件，其中iOE4ZuLw44是發(fā)送郵件標(biāo)題中的隨機(jī)字符串。
2)讀取.msg文件的內(nèi)容。
3)讀取UserList.dat文件的內(nèi)容，這里面有加密過的密碼。
4)讀取WebAcces.dat文件的內(nèi)容，把MDaemon@testeasybee.com賬號的權(quán)限全部打開：Access=YYYYYYYYYYYYYYYYY
5)讀取CFRules.dat文件內(nèi)容，這個是Content Filter內(nèi)容過濾器規(guī)則。
6)讀取CFilter.ini文件的內(nèi)容。Content Filter內(nèi)容過濾器配置文件。
7)讀取MDaemon.ini服務(wù)器配置文件。
8)最后把所有內(nèi)容集合在一起重新寫入原郵件的.msg文件中。
可以看出這段批處理的作用是，讀取一系列配置文件內(nèi)容，并且修改MDaemon@testeasybee.com賬號的權(quán)限為最高。
6. 通過WorldClient確保郵件已收到，讀取郵件內(nèi)容，通過UserList.dat文件內(nèi)容獲取MDaemon@testeasybee.com賬號的加密密碼，并解出明文密碼。
解密算法在trfo-2.dll的TfBase64Decode函數(shù)中，就是Base64的一種變形：
- void *__cdecl TfBase64Decode(int a1, unsigned int a2, int a3)
- {
- unsigned int v3; // esi@1
- int v4; // edi@1
- void *result; // eax@2
- int v6; // ebx@4
- unsigned int v7; // ecx@4
- char v8; // al@6
- unsigned __int8 v9; // al@8
- void *v10; // [sp+8h] [bp-10h]@1
- char v11[4]; // [sp+Ch] [bp-Ch]@16
- unsigned int v12; // [sp+10h] [bp-8h]@1
- char Src; // [sp+14h] [bp-4h]@20
- v3 = a2;
- v4 = 0;
- v12 = 0;
- v10 = calloc((3 * a2 >> 2) + 1, 1u);
- if ( v10 )
- {
- if ( a2 > 0 )
- {
- do
- {
- v6 = 0;
- v7 = 0;
- do
- {
- if ( v12 >= v3 )
- break;
- v8 = 0;
- do
- {
- if ( v8 )
- break;
- v9 = *(_BYTE *)(v12++ + a1);
- if ( (unsigned __int8)(v9 - 43) > 0x4Fu )
- v8 = 0;
- else
- v8 = byte_1000711D[v9];
- if ( v8 )
- v8 = (v8 - 61) & ((v8 == 36) - 1);
- }
- while ( v12 < a2 );
- v3 = a2;
- if ( v12 >= a2 )
- {
- v11[v7] = 0;
- }
- else
- {
- ++v6;
- if ( v8 )
- v11[v7] = v8 - 1;
- }
- ++v7;
- }
- while ( v7 < 4 );
- if ( v6 )
- {
- sub_10001000((int)v11, (int)&Src);
- if ( v6 != 1 )
- {
- memcpy((char *)v10 + v4, &Src, v6 - 1);
- v4 += v6 - 1;
- }
- }
- v3 = a2;
- }
- while ( v12 < a2 );
- }
- *((_BYTE *)v10 + v4) = 0;
- if ( a3 )
- *(_DWORD *)a3 = v4;
- result = v10;
- }
- else
- {
- result = 0;
- }
- return result;
- }
7. 通過CFilter.ini文件內(nèi)容判斷Content Filter是否開啟，如果沒開啟還需要發(fā)送一封郵件觸發(fā)自動應(yīng)答腳本執(zhí)行批處理命令寫入CFilter.ini文件來開啟Content Filter。
8. 以獲取到的MDaemon@testeasybee.com賬號的密碼登錄進(jìn)WebAdmin，通過POSTXML的方式添加一條Content Filter規(guī)則：
這條規(guī)則就是說，當(dāng)發(fā)現(xiàn)郵件標(biāo)題中包含xxxooo字符串，就執(zhí)行命令cmd /c “move /Y uu.txt t.exe & t.exe & del t.exe”，把附件uu.txt文件復(fù)制為t.exe并運(yùn)行。
9. 核心一步，發(fā)送標(biāo)題為xxxooo，帶有payload附件的郵件。觸發(fā)Content Filter規(guī)則，運(yùn)行payload。
10. 最后，發(fā)送包含命令的郵件清除所做修改和清除郵件。
可以看出來這個漏洞最關(guān)鍵點(diǎn)在于攻擊者可以通過WebAdmin以POSTXML的方式修改用戶自動應(yīng)答腳本，以至發(fā)送特定內(nèi)容郵件就可以達(dá)到執(zhí)行任意命令的目的。
解決方案
升級Mdaemon到最新版本可修復(fù)此漏洞。
