深入浅析ImageMagick命令执行漏洞
00 前言
什么是ImageMagick？
ImageMagick是一个功能强大的开源图形处理软件,可以用来读、写和处理超过90种的图片文件,包括流行的JPEG、GIF、 PNG、PDF以及PhotoCD等格式。使用它可以对图片进行切割、旋转、组合等多种特效的处理。
由于其功能强大、性能较好,并且对很多语言都有拓展支持,所以在程序开发中被广泛使用。许多网站开发者喜爱使用ImageMagick拓展来做web上的图片处理工作,比如用户头像生成、图片编辑等。
01 漏洞描述
ImageMagick是一款开源图片处理库，支持PHP、Ruby、NodeJS和Python等多种语言，使用非常广泛。包括PHP imagick、Ruby rmagick和paperclip以及NodeJS imagemagick等多个图片处理插件都依赖它运行。当攻击者构造含有恶意代码得图片时，ImageMagick库对于HTTPPS文件处理不当，没有做任何过滤，可远程实现远程命令执行，进而可能控制服务器。
02 影响程度
攻击成本：低
危害程度：高
影响范围：ImageMagick 6.9.3-9以前的所有版本
03 漏洞分析
命令执行漏洞是出在ImageMagick对https形式的文件处理的过程中。
ImageMagick之所以支持那么多的文件格式,是因为它内置了非常多的图像处理库,对于这些图像处理库,ImageMagick给它起了个名字叫做”Delegate”(委托),每个Delegate对应一种格式的文件,然后通过系统的system()命令来调用外部的lib进行处理。调用外部lib的过程是使用系统的system命令来执行的，导致命令执行的代码。
ImageMagick委托的默认配置文件： /etc/ImageMagick/delegates.xml
具体代码请参考：Github-ImageMagick
我们定位到https委托得那一行：
" <delegate decode=\"https\" command=\""wget" -q -O "%o" "https:%M"\"/>"
可以看到，command定义了它对于https文件处理时带入system()函数得命令："wget" -q -O "%o" "https:%M"。
wget是从网络下载文件得命令，%M是一个占位符，它得具体定义在配置文件中如下：
%i input image filename %o output image filename %u unique temporary filename %Z unique temporary filename %# input image signature %b image file size %c input image comment %g image geometry %h image rows (height) %k input image number colors %l image label %m input image format %p page number %q input image depth %s scene number %w image columns (width) %x input image x resolution %y input image y resolution
可以看到%m被定义为输入的图片格式,也就是我们输入的url地址。但是由于只是做了简单的字符串拼接,没有做任何过滤，直接拼接到command命令中，所以我们可以将引号闭合后通过"|",”`”,”&”等带入其他命令,也就形成了命令注入。
比如我们传入如下代码：
https://test.com"|ls “-al
则实际得system函数执行得命令为：
“wget” -q -O “%o” “ https://test.com"|ls “-al”
这样，ls -al命令成功执行。
04 漏洞利用
这个漏洞得poc由老外给出得，如下：
push graphic-context viewbox 0 0 640 480 fill 'url(https://"|id; ")' pop graphic-context
push和pop是用于堆栈的操作，一个进栈，一个出栈;
viewbox是表示SVG可见区域的大小，或者可以想象成舞台大小，画布大小。简单理解就是根据后面得参数选取其中得一部分画面;
fill url()是把图片填充到当前元素内;
在其中我们使用了fill url()的形式调用存在漏洞的https delegate,当ImageMagick去处理这个文件时,漏洞就会被触发。
附：ImageMagick默认支持一种图片格式，叫mvg，而mvg与svg格式类似，其中是以文本形式写入矢量图的内容，允许在其中加载ImageMagick中其他的delegate(比如存在漏洞的https delegate)。并且在图形处理的过程中,ImageMagick会自动根据其内容进行处理,也就是说我们可以将文件随意定义为png、jpg等网站上传允许的格式,这大大增加了漏洞的可利用场景。
利用过程：
创建一个exploit.png文件，包含以下内容：
push graphic-context viewbox 0 0 640 480 fill 'url(https://test.com/image.jpg"|ls "-al)' pop graphic-context
执行命令：convert exploit.png 1.png(后面的是convert的参数)
05 漏洞修复
升级到最新版本
配置/etc/ImageMagick/policy.xml的方式来禁止https、mvg这些delegate,或者直接在配置文件删除相应的delegate
<policymap> <policy domain="coder" rights="none" pattern="EPHEMERAL" /> <policy domain="coder" rights="none" pattern="URL" /> <policy domain="coder" rights="none" pattern="HTTPS" /> <policy domain="coder" rights="none" pattern="MVG" /> <policy domain="coder" rights="none" pattern="MSL" /> </policymap>
以上所述是小编给大家介绍的ImageMagick命令执行漏洞的知识，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对脚本之家网站的支持！
热AI工具
Undresser.AI Undress
人工智能驱动的应用程序，用于创建逼真的裸体照片
AI Clothes Remover
用于从照片中去除衣服的在线人工智能工具。
Undress AI Tool
免费脱衣服图片
Clothoff.io
AI脱衣机
Video Face Swap
使用我们完全免费的人工智能换脸工具轻松在任何视频中换脸！
热门文章
热工具
记事本++7.3.1
好用且免费的代码编辑器
SublimeText3汉化版
中文版，非常好用
禅工作室 13.0.1
功能强大的PHP集成开发环境
Dreamweaver CS6
视觉化网页开发工具
SublimeText3 Mac版
神级代码编辑软件(SublimeText3)
如何在Windows 11/10中运行SUDO命令
Mar 09, 2024 am 09:50 AM
通过sudo命令，用户可以在提升权限模式下运行命令，而无需切换到超级用户模式。本文将介绍如何在Windows系统中模拟类似于sudo命令的功能。什么是数道司令部？Sudo（“超级用户do”的缩写）是一种命令行工具，允许基于Unix的操作系统（如Linux和MacOS）的用户以提升的权限执行命令，这些权限通常是管理员所拥有的。在Windows11/10中运行SUDO命令然而，随着最新发布的Windows11Insider预览版推出，Windows用户现在也可以体验到这一项功能。这一新功能使用户能够
win11网卡mac地址怎么查? Win11使用命令获取网卡MAC地址方法
Feb 29, 2024 pm 04:34 PM
本文将向读者介绍在Win11系统中如何使用命令提示符（CommandPrompt）来查找网络适配器的物理地址（MAC地址）。MAC地址是网络接口卡（NIC）的唯一标识符，它在网络通信中扮演着重要角色。通过命令提示符，用户可以轻松地获取到当前计算机上所有网络适配器的MAC地址信息，这对于网络故障排查、配置网络设置等任务非常有帮助。方法一：使用「命令提示符」1、按【Win+X】组合键，或【右键】点击任务栏上的【Windows徽标】，在打开的菜单项中，选择【运行】；2、运行窗口，输入【cmd】命令，然
hyperv增强会话模式在哪? Win11用命令启用或禁用Hyper-V增强会话模式技巧
Feb 29, 2024 pm 05:52 PM
Win11系统中，可以通过命令来启用或禁用Hyper-V增强会话模式。本文将介绍如何使用命令来进行操作，帮助用户更好地管理和控制系统中的Hyper-V功能。Hyper-V是Microsoft提供的一种虚拟化技术，它内置在WindowsServer和Windows10、11（家庭版除外）中，允许用户在Windows系统中运行虚拟操作系统。虽然虚拟机与宿主机操作系统相隔离，但通过设置，它们依然能够使用宿主机的资源，如声卡和存储设备等。其中一个关键设置就是启用「增强会话模式」。增强会话模式是Hyper
超实用！让你成为Linux大神的Sar命令
Mar 01, 2024 am 08:01 AM
一、概述sar命令通过从系统活动中收集的数据来展示系统的使用情况报告。这些报告由不同部分组成，每个部分都包含数据类型和收集数据的时间。sar命令的默认模式显示访问CPU的各种资源（如用户、系统、I/O调度等）在不同时间增量下的CPU使用率。此外，它还显示给定时间段内空闲CPU的百分比。报告底部列出了每个数据点的平均值。sar默认每10分钟报告一次收集的数据，但您可以使用各种选项来筛选和调整这些报告。与uptime命令类似，sar命令也可帮助您监测CPU的负载情况。通过sar，您可以了解过度负载发
win11小组件怎么删除? 一条命令卸载 Windows11小组件功能技巧
Apr 11, 2024 pm 05:19 PM
小组件是Win11系统的新增功能，默认是开启状态，但是难免会出现有部分用户不太使用到小组件，看着占位置，因此想要禁用小组件的情况，那么应该如何操作呢？下面小编就教给大家操作方法，大家可以去尝试看看。什么是小组件？小组件是小卡片，用于在Windows桌面上显示你最喜爱的应用和服务中的动态内容。它们显示在小组件板上，你可以在其中发现、固定、取消固定、排列、调整大小和自定义小组件以反映你的兴趣。小组件板经过优化，可根据使用情况显示相关小组件和个性化内容。从任务栏的左角打开小组件板，可在其中看到实时天气
Linux中的神器：eventfd的原理与应用
Feb 13, 2024 pm 08:30 PM
Linux是一个强大的操作系统，它提供了许多高效的进程间通信机制，如管道、信号、消息队列、共享内存等。但是，有没有一种更简单、更灵活、更高效的通信方式呢？答案是有的，那就是eventfd。eventfd是Linux2.6版本引入的一种系统调用，它可以用来实现事件通知，也就是通过一个文件描述符来传递事件。eventfd包含一个由内核维护的64位无符号整型计数器，进程可以通过对这个文件描述符进行read/write来读取/改变计数器的值，从而实现进程间通信。eventfd有什么优点呢？它有以下几个特
Linux 重启服务的正确方式是什么？
Mar 15, 2024 am 09:09 AM
Linux重启服务的正确方式是什么？在使用Linux系统时，经常会遇到需要重启某个服务的情况，但是有时候我们可能会在重启服务时遇到一些问题，比如服务没有真正停止或启动等情况。因此，掌握正确的重启服务的方式是非常重要的。在Linux中，通常可以使用systemctl命令来管理系统服务。systemctl命令是systemd系统管理器的一部分
如何使用LSOF实时监控端口
Mar 20, 2024 pm 02:07 PM
LSOF（ListOpenFiles）是一个命令行工具，主要用于监控类似Linux/Unix操作系统的系统资源。通过LSOF命令，用户可以获取有关系统中活动文件以及正在访问这些文件的进程的详细信息。LSOF能够帮助用户识别当前占用文件资源的进程，从而更好地管理系统资源和排除可能的问题。LSOF的功能强大且灵活，可以帮助系统管理员快速定位文件相关的问题，如文件泄漏、未关闭的文件描述符等。通过LSOF命令LSOF命令行工具允许系统管理员和开发人员：确定当前正在使用特定文件或端口的进程，在端口冲突的情
