寫在前面的話

近期，世界上最流行的torrent客戶端uTorrent被爆出了一個安全漏洞，該漏洞的CVE編號為CVE-2020-8437。根據研究人員透露的信息，遠程攻擊者可以利用該漏洞來入侵任何一個連接至互聯網的uTorrent實例，并讓其運行崩潰。作為合格的白帽黑客，我們在發現了該漏洞之后便立刻將其上報給了uTorrent團隊，該漏洞也在短時間內迅速得到修復。現在在這篇文章中，我們將公開該漏洞的概況以及相應的利用方式。

[[349013]]

Torrent協議

Torrent下載(傳說中的BT下載)可以同時與多個對等節點建立連接(其他人下載同一文件)，并創建一個分散的下載網絡來使整個對等節點組共同受益。每個對等節點都可以上傳和下載數據到任何其他的對等節點，這種方式可以消除任何單一故障點或寬帶瓶頸，從而使所有對等節點的下載速度更快更穩定。

對等節點之間使用了BitTorrent協議進行通信，而這種協議通信方式需要通過握手來發起。在接下來的分析過程中，我們將主要關注握手包以及隨后的數據包。

BitTorrent握手

握手包是對等節點之間初始化通信所要發送的第一個數據包，握手包中包含了五個字段，每個字段都有嚴格的結構化格式。

握手包格式：

• Name Length：1字節無符號整型，后跟字符串長度。
• ProtocalName：可變長度的字符串，用于標記發起初始化的對等節點支持的協議。此字段將用于兼容性問題，不過在目前主要的協議實現中該字段都被設置為了“BitTorrent protocol”。
• Reserved Bytes：8字節比特字段，每一位代表了一個協議功能擴展，現代Torrent客戶端將使用這個字段來跟高級功能進行通信以優化下載任務。
• Info Hash：20字節SHA1，用于識別初始化對等節點想要下載的種子文件，這個哈希是目標種子文件全部信息的哈希，其中包括種子名稱、文件域哈希、文件大小、數量等等。
• Peer ID：20字節緩沖區，一個發起方跟自己指定的隨機標識。

當一個節點收到一個握手包之后，它將會用自己的握手包來回應。如果兩個節點的Reserved Bytes字段都設置為了“Extension Protocol”，那么節點之間將使用一個“擴展”消息握手來交換更多關于擴展組建的信息。

BitTorrent擴展消息握手

擴展消息握手是對等節點之間用于共享額外擴展實現信息時使用的，跟我們之前分析的BitTorrent握手包不同的是，BitTorrent握手包的大小是固定的，但擴展消息握手包是可以動態變化的，這將允許該數據包傳輸大量擴展數據。

擴展消息握手包格式：

• Length：4字節無符號整型，后跟整個信息的長度。
• BitTorrent Message Type：1個字節，即數據包的BitTorrent消息ID，擴展消息對應的是20(0x14)。
• BitTorrent Extended Message Type：1個字節，代表擴展消息的ID，對應的值為0。
• M：動態變化的數據包大小，支持的補充擴展Bencoded格式字典。

Bencoded字典

M字段是一個Bencoded格式的字典，這種格式跟Python字典格式類似：即字符串類型的鍵值對。但是，跟Python字典相比，Bencoded字典在值前面會包含每一個字符串的長度，“d”和“e”分別用來代表“{”和“}”。下面給出的是Python字典和Bencoded字典的對比圖：

除此之外，Python字典和Bencoded字典都可以在字典內部包含一個單獨的字典，即支持字典嵌套：

漏洞CVE-2020-8437

漏洞CVE-2020-8437存在于uTorrent解析Bencoded字典的代碼之中，說準確一點，就是解析嵌套字典的代碼。在補丁發布之前(uTorrent 3.5.5及其之前版本)，uTorrent將使用一個32位整數作為一個比特字段來跟蹤Bencoded字典當前正在解析的部分。比如說，當uTorrent在解析第一層時，這個比特字段將會被設置為‘00000000 00000000 00000000 00000001’，當uTorrent在解析第二層時，這個比特字段將會被設置為‘00000000 00000000 00000000 00000011’。

但是，如果一個Bencoded字典的嵌套層數超過32層的話，會發生什么呢?于是乎，我便創建了一個這樣的字典，然后丟給了uTorrent的字典解析器，結果如下：

這就很Nice!uTorrent崩潰啦!深入分析后，我們發現這是一個空指針引用錯誤。

漏洞利用

漏洞CVE-2020-8437有兩個簡單的利用向量，首先是要一個遠程對等節點發送一個包含惡意Bencoded字典的擴展消息數據包，其次就是需要一個包含了惡意Bencoded字典的.torrent種子文件。

1. 遠程對等節點利用

當兩個支持擴展消息的對等節點開始交互通信時，它們都會發送一個數據包來枚舉各自支持的擴展功能，而關于支持擴展的消息就是通過Bencoded字典來發送的，如果字典是惡意字典，那么客戶端在解析Bencoded字典時就會觸發漏洞CVE-2020-8437。

2. Torrent文件利用

.torrent種子文件封裝了客戶端開始下載torrent所需的最基本信息，這些文件在torrent網站上公開共享，任何人都可以直接下載，然后使用torrent客戶端來打開，因此這些文件都有可能成為觸發漏洞CVE-2020-8437的工具。一個.torrent文件相當于是一個以文件格式保存的Bencoded字典，因此我們只需要將一個惡意Bencoded字典保存為一個.torrent文件，就可以實現攻擊向量的創建了。

漏洞利用代碼：【點我獲取】

漏洞利用演示視頻

視頻地址：【點我觀看】

緩解方案

根據該漏洞的嚴重性情況，建議廣大用戶盡快將uTorrent客戶端程序升級至最新版本!