CVE-2020-15778：OpenSSH命令注入漏洞复现 – 作者:东塔安全学院

OpenSSH是SSH（Secure SHell）协议的免费开源实现。OpenSSH是个SSH的软件，linux/unix都用openssh软件提供SSH服务。scp 是 secure copy 的缩写, scp 是 linux 系统下基于 ssh 登陆进行安全的远程文件拷贝命令。

该漏洞编号CVE-2020-15778。OpenSSH的8.3p1及之前版本中的scp允许在scp.c远程功能中注入命令，攻击者可利用该漏洞执行任意命令。目前绝大多数linux系统受影响。

OpenSSH <= OpenSSH-8.3p1

未安装ssh，进行安装，安装命令如下：

已安装ssh：

使用ssh -V 查看版本信息，可以看到我这里使用的实验版本是Openssh_8.3p1。

前提已知：

攻击机：192,168.152.130（kali）

目标机：192.168.152.133(centOs 7 64位)

需要知道目标ssh账号密码

1. 利用scp命令，用kali对centOs进行写文件，复制文件。

复制当前目录下的1.txt到目标的/tmp目录下，并且执行 touch /tmp/test.sh 的命令

可以发现成功的将kali上面的文件传入到centOS上面也创建了text.txt文件，确认漏洞存在：

2. 执行命令：监听端口9999

命令：nc -lvvp 9999

3.再打开kali的一个窗口进行反弹shell，

在使用scp远程传输文件时,正常使用是这样的

scp SourceFile user@host:目录/TargetFile

在执行上面这条命令时会执行一个本地命令

scp -t 目录/TargetFile

对应源码如下:

源码地址:

https://github.com/openssh/openssh-portable/blob/a2855c048b3f4b17d8787bd3f24232ec0cd79abe/scp.c#L989

由此可以看到对用户输入的目录没有做过滤，导致攻击者可以利用反引号（` `）可以执行一些shell命令。

反引号在linux中的作用:

反引号（`）这个字符所对应的键一般位于键盘的左上角，不要将其同单引号（’）混淆。反引号括起来的字符串被shell解释为命令行，在执行时，shell首先执行该命令行，并以它的标准输出结果取代整个反引号（包括两个反引号）部分。如例程中的`date -d ‘-1 day’ +%Y%m%d`就是把这条命令的结果赋给变量OPDATE。

1、周期性的更换密码或密钥

2、使用rsync代替scp

参考链接：

https://github.com/cpandya2909/CVE-2020-15778/