Intel产品AMT本地及远程提权漏洞（CVE-2017-5689）复现 【转载自freebuf.com】

零、绪论：

1、鸣谢freebuf的文章，主要是学习这个漏洞，文章地址： Intel产品AMT本地及远程提权漏洞（CVE-2017-5689）复现

2、在shadon上找了多个该漏洞尝试复现失败（评论区有人复现成功，所以方法肯定可行），我的免费用户只能查看前两页，存在如下两种可能性：

（1）我尝试的靶机已经被打了补丁，或者默认账户已经被所有者或攻击者修改。

（2）此WEB服务器有版本区别，只有特定的一些版本存在该问题，而我没有遇到。

3、补充一点知识点：

受影响端口为4个：623、624、16992、16993

4、以上：如有错误和疏漏请批评指出，谢谢！！！

尝试扫描测试脚本：

# -*- encoding:utf-8 -*-

#import lib files:
import os
import sys
import logging
import requests
import threading
from optparse import OptionParser

#global configuration
reload(sys)
sys.setdefaultencoding("utf-8")
logging.basicConfig(level=logging.INFO,format='%(message)s')

#global varites define:
VulnPortList = [623,624,16992,16993]
VulnUrl = "http://%s:%s/logon.htm"
VulnList = []

class VulnScanner(threading.Thread):
    def __init__(self,threadname):
        threading.Thread.__init__(self,name=threadname)
        self.targetlist = []
    def _config_init(self,target=None,targetfile=None):
        if target != None:
            for port in VulnPortList:
                targeturl = VulnUrl%(target,str(port))
                self.targetlist.append(targeturl)
        if targetfile !=None:
            with open(targetfile,"r") as fr:
                for line in fr.readlines():
                    target = line.split("
")[0].split("
")[0]
                    self._config_init(target=target)
    def _check(self,target):
        try:
            logging.info("[+] checking %s"%str(target))
            response = requests.get(target,timeout=3)
        except Exception,ex:
            logging.info("[*] Safe! Reason:%s"%str(ex))
            return None
        if response.status_code == 200:
            if response.content.find("Log On"):
                logging.info("[+] Vuln! %s"%str(target))
                return target
        else:
            logging.info("[+] Safe! Reason:%s"%str(target))
            return None
    def run(self):
        global VulnList
        for target in self.targetlist:
            result = self._check(target)
            if result != None:
                VulnList.append(result)
       
if __name__ == "__main__":
    logging.info("[+]*****************************************************************[+]")
    logging.info("IAMT Scan Init!")
    parser = OptionParser() 
    parser.add_option("-i","--iptarget",dest="iptarget",help="Target IP address!")
    parser.add_option("-f","--iptargetfile",dest="iptargetfile",help="Target IPs file!")
    parser.add_option("-t","--threadnum",dest="threadnum",help="Number of Added Threads to Scan!")
    (options, args) = parser.parse_args()
    parameterchecklist = [options.iptarget,options.iptargetfile]
    if parameterchecklist in [[None,None],[None,""],["",None],["",""]]:
        logging.error("[-] Target parameters error!")
        exit(0)
    try:
        options.threadnum = 1 if options.threadnum == None or options.threadnum == "" else int(options.threadnum)
        options.threadnum = 100 if options.threadnum > 100 else options.threadnum
    except Exception,ex:
        logging.error("[-] Threadnum parameter error!")
        exit(0)
    logging.info("[+] Scan Config Init!")
    if options.iptargetfile != None:
        ret = os.popen("wc -l ./%s"%options.iptargetfile)
        size = str(ret.read()).split(" ")
        size = int(size[0])+1
        size = size/int(options.threadnum)
        os.popen("split -l %s %s -d -a 3 scanfile"%(str(size),str(options.iptargetfile)))
        scanfilelist = []
        for parents,dirs,filenames in os.walk("./"):
            for filename in filenames:
                if filename.find("scanfile") >= 0:
                    scanfilelist.append(filename)
        threadlist = []
        for targetfile in scanfilelist:
            thread = VulnScanner(threadname=str(targetfile))
            thread._config_init(target=None,targetfile=targetfile)
            threadlist.append(thread)
        for thread in threadlist:
            thread.start()
        for thread in threadlist:
            thread.join()
        for filename in scanfilelist:
            os.remove(filename)
        print "************************************************************"
        for vulntarget in VulnList:
            print "[*]Unsafe!,targetIP:",str(vulntarget.split("http://")[-1].split("/")[0]),",targeturl:%s"%vulntarget
        print "************************************************************"
    else:
        thread = VulnScanner(threadname="scanner")
        thread._config_init(target=options.iptarget)
        thread.start()
        thread.join()
        print "************************************************************"
        for vulntarget in VulnList:
            print "[*]Unsafe!,targetIP:",str(vulntarget.split("http://")[-1].split("/")[0]),",targeturl:%s"%vulntarget
        print "************************************************************"

一、下面是引文：

官方漏洞说明

英特尔（Intel）官方发布安全公告，公告表明Intel旗下产品英特尔主动管理技术（AMT），英特尔标准可管理性（ISM）和英特尔小型企业技术版本中的固件版本6.x，7.x，8.x 9.x，10 .x，11.0，11.5和11.6存在提权漏洞，可以使无特权攻击者获取这些产品的高级管理功能权限，CVE编号：CVE-2017-5689。 普通用户基于Intel的PC不受影响 。

受影响的版本：

第一代 Core family: 6.2.61.3535

第二代 Core family: 7.1.91.3272

第三代Core family: 8.1.71.3608

第四代Core family: 9.1.41.3024 and 9.5.61.3012

第五代Core family: 10.0.55.3000

第六代Core family: 11.0.25.3001

第七代Core family: 11.6.27.3264

漏洞原理：

利用截包软件把web登录数据包中Authorization字段中的response对应值全删除，就能以管理员用户登录AMT的web界面。

复现步骤：

第一步先利用搜索引擎zoomeye、shadan去搜索可能存在漏洞的链接，利用关键字port:16992

打开要检测的网站，点击Login登录，账号密码都为admin

把response里面的内容都清除

response="4208c148a7a8a9176bd8cb8d3a87464d"

点击burpsuite的Forward放行，成功以管理员进行登录

接下来新建账号，同理还是要清除response内的内容

这里设置密码需要注意密码复杂性要求，最少八个字符大小写特殊字符

新建账户成功后，刷新界面重新登录，此后操作就不需要在截包

以上就是复现过程。通过该漏洞，可以管理用户，远程开关机，使用创建的用户通过Manageability Commander Tool、vnc实现远程管理BIOS和操作系统。