当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0195828

漏洞标题:看我如何利用burp大法绕过深信服SSL VPN访问权限控制

相关厂商:深信服

漏洞作者: f4ckbaidu

提交时间:2016-04-13 15:49

修复时间:2016-07-17 00:10

公开时间:2016-07-17 00:10

漏洞类型:权限控制绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-13: 细节已通知厂商并且等待厂商处理中
2016-04-18: 厂商已经确认,细节仅向厂商公开
2016-04-21: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2016-06-12: 细节向核心白帽子及相关领域专家公开
2016-06-22: 细节向普通白帽子公开
2016-07-02: 细节向实习白帽子公开
2016-07-17: 细节向公众公开

简要描述:

通篇都是猥琐流,乌云欠我一个闪电

详细说明:

声明:本次报告中提到的**.**.**.**是一个虚拟的域名,并非真实域名
在测试自己公司SSL VPN安全性的时候发现一个有趣的东西
ssl vpn连接后会服务端会下发一个资源列表给客户端,如下图:

b3.png


图中的host字段就是VPN远端的服务器IP,port就是允许你访问的服务区端口号,这里为22
这里的意思就是只允许你去访问10.x.x.x的22端口,那么问题来了:

挖掘机哪家强,哦不对,是我可以修改服务器返回的IP和端口号来访问其它VPN远端资源吗?


说做就做,通过burp代理修改port范围为1-65535来试试:

b4.png


然并卵,使用http代理后就不能访问L3VPN资源了(L3VPN=TCP+UDP+ICMP)

0.png


然而就不能继续了吗?no,祭出神器burp的invisible proxying
所谓的invisible proxying就是透明代理,通过出口设备将访问VPN的数据重定向给burp即可

b1.png


找谁重定向?出口设备或者linux的iptables都可以,这里以出口设备DNAT为例
简要来说访问VPN的数据流变成如下流程:
hacker --> 出口 --> DNAT给burp(同时源IP转换为**.**.**.**) --> burp处理 --> 出口 --> VPN设备
注意:burp和hacker主机不能为同一台,为同一台的话会出现数据环路,为什么自己去想吧,基础网络知识
这里做实验的hacker机IP为**.**.**.**,burp主机**.**.**.**,网关为**.**.**.**,VPN设备IP假设为**.**.**.**
那么在出口需要做:
1、源IP为**.**.**.**的访问**.**.**.** TCP443端口重定向到**.**.**.**的443端口
2、代理**.**.**.**访问**.**.**.**的请求
因为我这里**.**.**.**是假的所以要绑定下hosts,burp和windows主机都要绑定

b2.png


现在我们登陆试下,发现burp正常工作,VPN登陆流程比较慢但可以登陆
可以看到端口范围已经被burp自动修改了:

b5.png


注:这里VPN登陆成功后需取消网关的DNAT策略,否则会因burp代理速度太慢导致VPN不可用
我们再来访问10.x.x.x的80端口试试,duang!一下就打开了80端口的页面

4.png


当然3306端口也是可以访问的:

5.png


最终测试结论:已绕过VPN访问控制系统

漏洞证明:

修复方案:

你懂的

版权声明:转载请注明来源 f4ckbaidu@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2016-04-18 00:06

厂商回复:

感谢白帽子提交的问题。经过与提交该漏洞的白帽子联系发现,该设备定制了特殊功能,问题是由于该功能的定制包存在问题,导致数据请求存在被篡改的风险。该定制包只有部分特定用户使用,目前已将此漏洞修复,其他不使用该定制包的用户则不存在此问题。
感谢白帽子为我们指出问题,请白帽子私信留下联系方式,我们将为您寄送礼物以示答谢!

最新状态:

暂无


漏洞评价:

评价

  1. 2016-04-13 15:53 | Aasron ( 普通白帽子 | Rank:990 漏洞数:171 | raw_input("你知道我要输入什么?"))

    fuzz

  2. 2016-04-13 16:02 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:5460 漏洞数:423 | 你都有那么多超级棒棒糖了,还要自由干吗?)

    乌云欠我一个闪电

  3. 2016-04-13 16:21 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

    牛逼

  4. 2016-04-13 16:22 | zzR 认证白帽子 ( 核心白帽子 | Rank:1418 漏洞数:128 | 东方红**联盟欢迎你-0-)

    乌云欠我一打闪电-0-

  5. 2016-04-13 16:27 | Azui ( 实习白帽子 | Rank:61 漏洞数:15 | 人有两件宝,双手和大脑。)

    乌云欠我一个闪电

  6. 2016-04-13 16:39 | F4K3R ( 普通白帽子 | Rank:318 漏洞数:34 | 求团队收留。)

    乌云欠我一个闪电

  7. 2016-04-13 16:46 | T-Safe ( 实习白帽子 | Rank:97 漏洞数:11 | 厦门冰眼信息科技安全研究院)

    乌云欠我一个闪电

  8. 2016-04-13 16:57 | prolog ( 普通白帽子 | Rank:1015 漏洞数:220 )

    乌云欠我一个闪电

  9. 2016-04-13 17:27 | zmx ( 普通白帽子 | Rank:166 漏洞数:44 | wooyun)

    能绕过手机验证吗?

  10. 2016-04-13 17:47 | 深信服(乌云厂商)

    提交该漏洞的白帽子您好,感谢您向我们反馈问题,目前我们想咨询下这台设备的部分配置,希望与您取得联系,我们的邮箱:anquan@sangfor.com.cn,非常感谢!

  11. 2016-04-13 17:57 | f4ckbaidu ( 普通白帽子 | Rank:265 漏洞数:33 | 开发真是日了狗了)

    @深信服 你想咨询啥,没开防中间人攻击,这个本来你们默认也就没开启

  12. 2016-04-13 18:08 | 随风的风 ( 普通白帽子 | Rank:259 漏洞数:96 | 微信公众号:233sec 不定期分享各种漏洞思...)

    @f4ckbaidu 乌云欠你一个闪电 你取消匿名,就给你闪电啦

  13. 2016-04-13 20:26 | _Thorns ( 普通白帽子 | Rank:1905 漏洞数:295 | 以大多数人的努力程度之低,根本轮不到去拼...)

    乌云欠我一个闪电。

  14. 2016-04-13 20:40 | 小红猪 ( 普通白帽子 | Rank:341 漏洞数:62 | little red pig!)

    强势围观

  15. 2016-04-22 19:44 | 土豆俠 ( 路人 | Rank:2 漏洞数:1 | 我爱吃土豆)

    乌云欠我一个闪电

  16. 2016-05-04 10:16 | 习总夸我好青年 ( 路人 | Rank:2 漏洞数:1 | 刚来的,请多关照)

    闪电是啥?

  17. 2016-05-08 21:18 | scanf ( 核心白帽子 | Rank:1768 漏洞数:246 | 。)

    膜拜大师傅

  18. 2016-06-12 01:28 | mango ( 核心白帽子 | Rank:2185 漏洞数:312 | 解决问题的第一步,是要承认问题的存在。)

    - -这个码打的。。看的好乱好揪心 还好有图不然还真不好理解

  19. 2016-06-12 08:39 | zzR 认证白帽子 ( 核心白帽子 | Rank:1418 漏洞数:128 | 东方红**联盟欢迎你-0-)

    又学习了一招!!!!!

  20. 2016-06-22 08:44 | _Thorns ( 普通白帽子 | Rank:1905 漏洞数:295 | 以大多数人的努力程度之低,根本轮不到去拼...)

    又涨姿势了...