零、绪论：
1、鸣谢freebuf的文章，主要是学习这个漏洞，文章地址： Intel产品AMT本地及远程提权漏洞（CVE-2017-5689）复现
2、在shadon上找了多个该漏洞尝试复现失败（评论区有人复现成功，所以方法肯定可行），我的免费用户只能查看前两页，存在如下两种可能性：
（1）我尝试的靶机已经被打了补丁，或者默认账户已经被所有者或攻击者修改。
（2）此WEB服务器有版本区别，只有特定的一些版本存在该问题，而我没有遇到。
3、补充一点知识点：
受影响端口为4个：623、624、16992、16993
4、以上：如有错误和疏漏请批评指出，谢谢！！！
尝试扫描测试脚本：
# -*- encoding:utf-8 -*- #import lib files:
import os
import sys
import logging
import requests
import threading
from optparse import OptionParser #global configuration
reload(sys)
sys.setdefaultencoding("utf-8")
logging.basicConfig(level=logging.INFO,format='%(message)s') #global varites define:
VulnPortList = [623,624,16992,16993]
VulnUrl = "http://%s:%s/logon.htm"
VulnList = [] class VulnScanner(threading.Thread):
def __init__(self,threadname):
threading.Thread.__init__(self,name=threadname)
self.targetlist = []
def _config_init(self,target=None,targetfile=None):
if target != None:
for port in VulnPortList:
targeturl = VulnUrl%(target,str(port))
self.targetlist.append(targeturl)
if targetfile !=None:
with open(targetfile,"r") as fr:
for line in fr.readlines():
target = line.split("\n")[0].split("\r")[0]
self._config_init(target=target)
def _check(self,target):
try:
logging.info("[+] checking %s"%str(target))
response = requests.get(target,timeout=3)
except Exception,ex:
logging.info("[*] Safe! Reason:%s"%str(ex))
return None
if response.status_code == 200:
if response.content.find("Log On"):
logging.info("[+] Vuln! %s"%str(target))
return target
else:
logging.info("[+] Safe! Reason:%s"%str(target))
return None
def run(self):
global VulnList
for target in self.targetlist:
result = self._check(target)
if result != None:
VulnList.append(result) if __name__ == "__main__":
logging.info("[+]*****************************************************************[+]")
logging.info("IAMT Scan Init!")
parser = OptionParser()
parser.add_option("-i","--iptarget",dest="iptarget",help="Target IP address!")
parser.add_option("-f","--iptargetfile",dest="iptargetfile",help="Target IPs file!")
parser.add_option("-t","--threadnum",dest="threadnum",help="Number of Added Threads to Scan!")
(options, args) = parser.parse_args()
parameterchecklist = [options.iptarget,options.iptargetfile]
if parameterchecklist in [[None,None],[None,""],["",None],["",""]]:
logging.error("[-] Target parameters error!")
exit(0)
try:
options.threadnum = 1 if options.threadnum == None or options.threadnum == "" else int(options.threadnum)
options.threadnum = 100 if options.threadnum > 100 else options.threadnum
except Exception,ex:
logging.error("[-] Threadnum parameter error!")
exit(0)
logging.info("[+] Scan Config Init!")
if options.iptargetfile != None:
ret = os.popen("wc -l ./%s"%options.iptargetfile)
size = str(ret.read()).split(" ")
size = int(size[0])+1
size = size/int(options.threadnum)
os.popen("split -l %s %s -d -a 3 scanfile"%(str(size),str(options.iptargetfile)))
scanfilelist = []
for parents,dirs,filenames in os.walk("./"):
for filename in filenames:
if filename.find("scanfile") >= 0:
scanfilelist.append(filename)
threadlist = []
for targetfile in scanfilelist:
thread = VulnScanner(threadname=str(targetfile))
thread._config_init(target=None,targetfile=targetfile)
threadlist.append(thread)
for thread in threadlist:
thread.start()
for thread in threadlist:
thread.join()
for filename in scanfilelist:
os.remove(filename)
print "************************************************************"
for vulntarget in VulnList:
print "[*]Unsafe!,targetIP:",str(vulntarget.split("http://")[-1].split("/")[0]),",targeturl:%s"%vulntarget
print "************************************************************"
else:
thread = VulnScanner(threadname="scanner")
thread._config_init(target=options.iptarget)
thread.start()
thread.join()
print "************************************************************"
for vulntarget in VulnList:
print "[*]Unsafe!,targetIP:",str(vulntarget.split("http://")[-1].split("/")[0]),",targeturl:%s"%vulntarget
print "************************************************************"
一、下面是引文：
官方漏洞说明
英特尔（Intel）官方发布安全公告，公告表明Intel旗下产品英特尔主动管理技术（AMT），英特尔标准可管理性（ISM）和英特尔小型企业技术版本中的固件版本6.x，7.x，8.x 9.x，10 .x，11.0，11.5和11.6存在提权漏洞，可以使无特权攻击者获取这些产品的高级管理功能权限，CVE编号：CVE-2017-5689。 普通用户基于Intel的PC不受影响 。
受影响的版本：
第一代 Core family: 6.2.61.3535
第二代 Core family: 7.1.91.3272
第三代Core family: 8.1.71.3608
第四代Core family: 9.1.41.3024 and 9.5.61.3012
第五代Core family: 10.0.55.3000
第六代Core family: 11.0.25.3001
第七代Core family: 11.6.27.3264
漏洞原理：
利用截包软件把web登录数据包中Authorization字段中的response对应值全删除，就能以管理员用户登录AMT的web界面。
复现步骤：
第一步先利用搜索引擎zoomeye、shadan去搜索可能存在漏洞的链接，利用关键字port:16992
打开要检测的网站，点击Login登录，账号密码都为admin
把response里面的内容都清除
response="4208c148a7a8a9176bd8cb8d3a87464d"点击burpsuite的Forward放行，成功以管理员进行登录
接下来新建账号，同理还是要清除response内的内容
这里设置密码需要注意密码复杂性要求，最少八个字符大小写特殊字符
新建账户成功后，刷新界面重新登录，此后操作就不需要在截包
以上就是复现过程。通过该漏洞，可以管理用户，远程开关机，使用创建的用户通过Manageability Commander Tool、vnc实现远程管理BIOS和操作系统。
