西部數碼MyCloud NAS命令執行漏洞

在這篇文章中，我將要解釋我是如何發現西部數據NAS設備的一些漏洞的，組合在一起後最終可以實現root許可權的遠程代碼執行的效果。

要想控制NAS設備，需要保證攻擊者與NAS設備處於同一網路，並且知道其真實IP。

POC在這裡。

前奏

這一切均源於，我決定斥資購買西部數據（WD）My Cloud EX2 Ultra。與其他型號不同，這款產品為消費者提供了切換硬碟驅動器的功能，可以讓你無需額外安裝應用程序即可使用它，甚至還可以在沒有互聯網的情況下使用。

在安裝這個設備時，我決定先打開瀏覽器測試一下，幸不辱命，發現一個繞過身份驗證的方法（通過設置cookie中的「isAdmin」為1）。奈何，在更新NAS以後，我發現這個漏洞已經在新版本中修復了。

此時我覺得肯定還會有其他漏洞，於是我決定繼續測試下去。當我下載了WD網站的源代碼以後，便開始搜索剛才這處校驗用戶身份的代碼，終於成功找到我想要的代碼片段。我發現更新後的代碼中已經不再是依賴用戶的Cookie信息，而是改為校驗Session。

/* fixed code in firmware/module/crfs/web/pages/lib/login_checker.php */

function login_check()
{
$ret = 0;

if (!csrf_token_check()) /* this check can be bypassed easily as well */
return $ret;

if (isset($_SESSION[username]))
{
if (isset($_SESSION[username]) && $_SESSION[username] != "")
$ret = 2; //login, normal user

if ($_SESSION[isAdmin] == 1)
$ret = 1; //login, admin
}

return $ret;
}

未經校驗的文件上傳漏洞（CVE–2019-9951）

通過審計這些「可愛的」PHP代碼，我發現有一處沒有正確使用login_check函數，從而導致未經校驗的文件上傳漏洞。

/* found in: firmware/module/crfs/web/pages/jquery/uploader/uploadify.php */

include ("../../lib/login_checker.php");

if (login_check() != 1) /* i.e not-authenticated / admin */
{
/* user-controlled */
if ($_SERVER[HTTP_USER_AGENT] == Shockwave Flash)
{
$headers = getallheaders();

/* also user-controlled */
if ($_GET[WD-CSRF-TOKEN] !== $_POST[X-CSRF-Token] ||
strrpos($headers[Content-Type], multipart/form-data;))
{
echo json_encode($r);
exit;
}
/* >> by reaching this line, you bypassed the authentication for this page*/
}
else
{
echo json_encode($r);
exit;
}
}
/* upload logic here */

不過，這還無法直接利用。因為uploadify.php文件將會校驗目的路徑並且限制僅允許寫入到特定目錄。

/* found in: firmware/module/crfs/web/pages/lib/login_checker.php */

function check_path($path)
{
$file_path = realpath($path);
if (!$file_path) return false;

if (strncmp($file_path, "/mnt/HD", 7) != 0 &&
strncmp($file_path, "/mnt/USB", 8) != 0 &&
strncmp($file_path, "/mnt/isoMount", 13) != 0)
return false;

return true;
}