靠谱黑客:CVE-2019-10149：Exim长途指令履行缝隙预警剖析

日前，安全研究人员发现Exim邮件服务器存在一个远程指令实行缝隙，缝隙编号为CVE-2019-10149。该缝隙在默许装备下可被本地侵犯者直接运用，通过低权限用户实行root权限指令，远程侵犯者需求修正默许装备。为了在默许装备下远程运用该缝隙，远程侵犯者需求与存在缝隙的服务器树立7天的衔接（每隔几分钟发送1个字节）。
360CERT 判别此次缝隙影响面广，可形成本地提权并存在远程指令实行的危险，危害较为严峻，主张广阔用户及时更新。
本地运用
缝隙代码坐落deliver_message()中：

代码中new->address保存的是邮件的收件人地return os.urandom(16)址，假设将收件人地址写成${run{ }}@localhost，则可以通过expand_string()以root权限实行恣意指令。expand_string()的调用关系为：expand_string->child_open->execv


侵犯效果如下：

远程运用
（1）默许装备
当政策Exim服务器运用默许装备时，侵犯者需求与存在缝隙的服务器树立衔接7天（每隔几分钟发送1个字节），运用条件较为严苛，难度大。但因为Exim的代码非常复杂，或许存在其他能更快速运用的 *** 。
（2）非默许装备
当政策服务器运用以下装备时，侵犯者可对其进行远程指令实行
a）管理员手动移除verify = recipient ACL装备；
b）管理员装备Exim可以辨认收件人用户名中的标签（即@之前的部分），如通过local_part_suffix = + : -，侵犯者可以将RCPT TO设为本地用户名+${run{…}}@localhost进行运用；
c）管理员装备Exim作为辅MX（Mail eXchange），将邮件转发至远程域，此刻verify = recipient ACL只查看远程地址的域名部分（即@之后的部分），不查看标签。侵犯者可以将RCPT TO设为${run{…}}@relay_to_domains进行运用。
 
0x01 影响版别
影响Exim 4.87~4.91版别
在4.87版别之前假设手动启用了EXPERIMENTAL_EVEN

Shadow-box是一个有用的轻量级内核保护程序，它在以下安全会议上已被多次介绍。

T选项，服务器也会存在缝隙
 
0x02 修正主张
更新到最新版别4.92
 

printf("Could not initiate inotify!!n");通过NtQueryInformationProcess找到远程进程的基地址，核算偏移获得Commandline参数的方位，再分别通过ReadProcessMemory和WriteProcessMemory对Commandline参数进行读写。$ brew install class-dump靠谱黑客:CVE-2019-10149：Exim长途指令履行缝隙预警剖析

先在 Kali 下面生成一个 Powershell 的后门，通过编码的 *** 先进行简略的稠浊。WindowsUpdate_trace_log Trace Runningif [ ! -d ~/.pip ];then

政策成效如图5所示，我们成功添加了管理员账号。

5月12日，一场全球性互联网灾害悄可是至，一款名为WannaCRY的PC端恶意勒索软件运用NSA泄露的危险缝隙“永久之蓝”，给100多个国家和地区10万台电脑形成了巨大的丢掉。到2017年中止，全球手机用户总量现已打破50亿，而作为占比逾越50%的android系统中，相同有许许多多类似WannaCRY的勒索软件正在危害我们的工业安全。为了成功运用这个缝隙，侵犯者首要需求选用类似 *** 垂钓之类的 *** 来欺诈用户下载一个恶意MSI文件，但这就需求一些比较奸刁的社工技巧了。除此之外，侵犯者还可以运用Drive-By下载在不需求向用户问询的情况下自动下载恶意文件，比如说Chrome就给用户供应了自动下载选项。实际上，安全研讨人员早在良久之前就现已提示过Google这种功用的危险性了，而且现在有许多侵犯技术都运用了这种功用。 假设你想要拿到全部WhatsApp用户的手机号码、头像、以及情况信息，那么我奉告你，这其实是一件非常简略的作业，而且这些用户甚至都不需求将你增加到他们的通讯录里面。虚拟化技术选用的是分层系统结构，它可以对每一个运用的实行栈到底层的硬件进行结构区别，以此来消除同享系统中运用程序互相烦扰的或许性。除此之外，每一个运用程序栈和硬件之间的接口也有严峻的束缚以防止被恶意软件所运用，而这种技术也给运用程序供应了更健壮的安全保护。

}4:实行恳求指令，初步恳求靠谱黑客:CVE-2019-10149：Exim长途指令履行缝隙预警剖析

现有软件回想一句话阻挠演示视频：

因为自己作业中要触及到许多东西，审计（日志、数据神马的）、源代码审计、渗透检验、开发一大堆东西，有些东西，越是深化去做，越会发现，没有东西或脚本，作业起来是有多么的坑。 　　思科照应很快，昨日更新博客【4】供认PIX 6.x受影响，7.x没事，ASA也没事。

运用DexClassLoader()运行时加载JAR/DEX文件，该将恶意代码替换掉被加载的DEX文件，或向该被加载的DEX文件注入恶意代码。

本文标题:靠谱黑客:CVE-2019-10149：Exim长途指令履行缝隙预警剖析