攻击 Western Digital NAS 个人云存储设备

看雪学苑 · 公众号 · 互联网安全 · 2017-03-18 18:02

正文

在 Exploitee.rs，有时我们寻找有趣的设备进行攻击，而有时设备会找到我们。今天，我们将谈谈最近一段时间（我们发现自己处于后一种情况）我们在攻击一系列 Western Digital 的网络附加存储设备方面的经验。

去年年中，我开始寻找一个能借助 Plex（一款我最近很喜欢用的媒体播放器）提供硬件解码功能的网络附加存储设备。经过一番研究，我订购了一个 Western Digital“MyCloud”PR4100。这个设备满足了我的所有需求，并得到一个朋友强烈推荐。在将 NAS 添加到我的网络并首次访问设备的管理页面之后，我对在网络中不经适当审核而添加新设备感到厌烦。所以，我登录该设备，启用 SSH 访问，并查看该设备的 Web 服务器功能如何工作。

💎 登录绕过

我很快发现第一个令人震惊的 bug，这个 bug 来自于一段执行用户登录检查功能（使用 cookie 或 PHP 会话变量）的代码。使用 cookie 进行身份验证不一定是一件坏事，但问题是西部数据 MyCloud 的登录界面使用它们的方式。检查下面的代码。

/lib/login_checker.php
function login_check()
{
        $ret = 0;
        if (isset($_SESSION['username']))
        {
                if (isset($_SESSION['username']) && $_SESSION['username'] != "")
                $ret = 2; //login, normal user

                if ($_SESSION['isAdmin'] == 1)
                        $ret = 1; //login, admin
        }
        else if (isset($_COOKIE['username']))
        {
                if (isset($_COOKIE['username']) && $_COOKIE['username'] != "")
                $ret = 2; //login, normal user

                if ($_COOKIE['isAdmin'] == 1)
                        $ret = 1; //login, admin
        }
        return $ret;
}

上述代码包含一个名为“login_check”的函数，此函数由所有后端 PHP 脚本使用，用于验证预认证的用户。上面的代码可以通过两条途径完成检查，第一是通过检查“username”和“isAdmin”的会话值，第二是（如果先前失败）尝试使用 cookie 完成相同的过程。因为 cookie 是由用户提供的，所以脚本寻找的要求可以被攻击者满足。上述会话和 cookie 的检查过程总结如下。

“username”变量已设置，并且不为空 - 用户以普通权限用户身份登录。
“isAdmin”变量设置为1 - 用户以管理员身份登录。

这意味着在任何时候使用该 PHP 脚本进行登录检查时，攻击者能够通过提供 2个特制的 cookie 值绕过检查。

在写下我发现的过程中，一个新的固件被推出来修补上述 bug。然而，这个补丁引入了一个新的漏洞，它具有与上述 bug（更新前）相同的后果。下面是包括固定代码的当前版本。

/var/www/web/lib/login_checker.php
20 function login_check()
21 {
22         $ret = 0;
23
24         if (isset($_SESSION['username']))
25         {
26                 if (isset($_SESSION['username']) && $_SESSION['username'] != "")
27                 $ret = 2; //login, normal user
28
29                 if ($_SESSION['isAdmin'] == 1)
30                         $ret = 1; //login, admin
31         }
32         else if (isset($_COOKIE['username']))
33         {
34                 if (isset($_COOKIE['username']) && $_COOKIE['username'] != "")
35                 $ret = 2; //login, normal user
36
37                 if ($_COOKIE['isAdmin'] == 1)
38                         $ret = 1; //login, admin
39
40                 if (wto_check($_COOKIE['username']) === 0) //wto check fail
41                         $ret = 0;
42         }
43
44         return $ret;
45 }
46 ?>

在代码的更新版本中，调用了新函数“wto_check（）”（40行）。此函数使用客户端提供的用户名以及用户的 IP 地址作为二进制参数在设备上运行。如果用户当前已经登录并且没有超时，则返回值 1，否则返回 0（指示用户未登录）。“wto_check（）”方法的代码如下。

/var/www/web/lib/login_checker.php
  3 /*
  4   return value: 1: Login, 0: No login
  5 */
  6 function wto_check($username)
  7 {
  8         if (empty($username))
  9                 return 0;
10
11         exec(sprintf("wto -n \"%s\" -i '%s' -c", escapeshellcmd($username), $_SERVER["REMOTE_ADDR"]), $login_status);
12         if ($login_status[0] === "WTO CHECK OK")
13                 return 1;
14         else
15                 return 0;
16 }
17
18 /* ret: 0: no login, 1: login, admin, 2: login, normal user */
19

在上面的代码中你可以看到，为了将用户名和 IP 地址引入作为“wto”二进制的参数，在第 11 行进行了转义处理。上面代码的问题是 PHP 方法“escapeshellcmd（）”的不正确使用，“escapeshellcmd（）”的正确用途是处理整个命令字符串，而不仅仅是一个参数。这是因为“escapeshellcmd（）”函数不转义引号，因此攻击者可以突破引号的封装（在我们的案例中为“-n”参数），允许引入新的参数执行。因此，我们可以添加新的参数实现自我登录，而绕过对用户是否已经登录的检查。尽管我们认为仅仅通过检查IP地址和是否登录超时来验证用户是否已经登录是远远不够的。编写这段代码的程序员应该使用“escapeshellarg（）”，它用于过滤独立的二进制参数，并过滤掉引号。使用“escapeshellarg（）”而不是目前使用的“escapeshellcmd（）”至少可阻止上述提到的攻击。

💎 命令注入错误

WDCloud Web 界面的大多数功能实际上由设备上的 CGI 脚本处理。大多数二进制文件使用相同的模式，它们从请求中获取 post / get / cookie 值，然后使用 PHP 调用中的值来执行shell命令。在大多数情况下，这些命令将使用用户提供的数据（几乎不进行清理）。例如，考虑一下以下代码（来自于该设备）。

php/users.php
15 $username = $_COOKIE['username'];
16 exec("wto -n \"$username\" -g", $ret);

上面的代码从 COOKIE 的超全局变量（包含从请求提交来的 cookie 数组索引）分配一个值给本地变量“$ username”。然后，该值作为本地方法“wto”的二进制参数立即在 PHP 的“ exec（） ”调用中被使用。因为没有数据清理，使用用户名值

username=$(touch /tmp/1)

将现有的 exec 命令转换为

wto -n "$(touch /tmp/1)" -g

并在其中执行用户提供的命令。

因为参数用双引号封装且我们使用“$（COMMANDHERE）”这样的语法，命令“touch / tmp / 1”先于“wto”方法被执行，其返回值被用作“wto”方法的“-n”参数。这种导致命令注入漏洞的基本模式在Web界面使用的许多脚本中被多次使用。虽然上述的一些漏洞可能被常规的身份认证所阻止，但是通过上面提到的绕过登陆可以克服该限制。另外，值得注意的是，所有通过 Web 界面执行的命令都是完成的，因此本案例中 Web 服务器是以 root 用户的身份在运行。

💎 其他错误

可能你认为上述错误已经很严重了，但在 Web 界面中仍然存在了大量的错误（像被注释掉的正常验证一样简单的）：

addons/ftp_download.php
  6 //include ("../lib/login_checker.php");
  7 //
  8 ///* login_check() return 0: no login, 1: login, admin, 2: login, normal user */
  9 //if (login_check() == 0)
10 //{
11 //      echo json_encode($r);
12 //      exit;
13 //}

还有其他更具特定功能性的错误，如下面的例子，允许未经验证的用户能够将文件上传到 myCloud 设备。

addons/upload.php
  2 //if(!isset($_REQUEST['name'])) throw new Exception('Name required');
  3 //if(!preg_match('/^[-a-z0-9_][-a-z0-9_.]*$/i', $_REQUEST['name'])) throw new Exception('Name error');
  4 //
  5 //if(!isset($_REQUEST['index'])) throw new Exception('Index required');
  6 //if(!preg_match('/^[0-9]+$/', $_REQUEST['index'])) throw new Exception('Index error');
  7 //
  8 //if(!isset($_FILES['file'])) throw new Exception('Upload required');
  9 //if($_FILES['file']['error'] != 0) throw new Exception('Upload error');
10
11 $path = str_replace('//','/',$_REQUEST['folder']);
12 $filename = str_replace('\\','',$_REQUEST['name']);
13 $target =  $path . $filename . '-' . $_REQUEST['index'];
14
15 //$target =  $_REQUEST['folder'] . $_REQUEST['name'] . '-' . $_REQUEST['index'];
16
17 move_uploaded_file($_FILES['file']['tmp_name'], $target);
18
19
20 //$handle = fopen("/tmp/debug.txt", "w+");
21 //fwrite($handle, $_FILES['file']['tmp_name']);
22 //fwrite($handle, "\n");
23 //fwrite($handle, $target);
24 //fclose($handle);
25
26 // Might execute too quickly.
27 sleep(1);

上面的代码由未经检查的身份验证组成，该段代码被调用时将简单地检索上传的文件内容，并根据用户提供的路径来决定在哪里放置新文件。

除了本博客中列出的错误，我们将在 MyCloud Web 界面中发现的大量错误放在我们的 wiki 中。尽快修复错误是我们 Exploitee.rs 的普遍追求。然而，大量的严重错误的发现意味着，我们可能需要在供应商正确修复已发布的漏洞后重新评估产品。

💎 责任披露

Exploitee.rs 通常致力于同供应商合作，确保漏洞被正确地发布。然而，上一次在维加斯的 BlackHat 大会上取得了Pwnie奖后，我们了解了供应商在圈子里的声誉。特别地，某供应商在忽略了向他们所提交的一组错误的严重性后，仍然赢得了“Lamest Vendor Response” Pwnie奖。厂商的忽略使得易受攻击的设备更长时间地在线（尽管已经做过了责任披露）。因此，我们转而尝试向圈内人士做出有关这些缺陷的预警，并希望用户将其设备从接入公网的网络中转移走，或是尽可能限制访问。通过这个过程，我们完全公开了我们的所有研究，并希望这会加快给用户设备打补丁的速度。

找到的 Bug 统计信息