Ausführen des Exploits

Der Exploit erwartet die folgenden Argumente:

Es gibt drei Modi (bzw. Payloads), die Sie bei einem erfolgreichen Angriff ausführen können:

1. stage
2. exec
3. downloadexec

Stage-Modus

Bei erfolgreichem Exploit führt er einen Metasploit-/Sliver-kompatiblen Shellcode-Stager aus. Er ist der unzuverlässigste aller Payloads; erwägen Sie `downloadexec1 stattdessen. Führen Sie es wie folgt aus:

stageHost und stagePort zeigen auf einen lauschenden Handler auf Ihrer Sliver-/Metasploit-Kiste. Sie können jeden beliebigen Payload wählen, aber ich habe festgestellt, dass nur windows/x64/shell/reverse_tcp zuverlässig funktioniert. Das ist schade, denn das ist keine verschlüsselte Shell, und Sie müssen Ihre Einsatzregeln prüfen, bevor Sie so etwas ausführen.

Nochmals: caveat emptor.

Richten Sie es in Metasploit auf Ihrem Kali-System wie folgt ein:

Führen Sie dann den Exploit aus:

Auf dem Kali-System sollten Sie die Stage-Anfrage und den Start der Befehlsshell sehen:

Sliver

Die Sliver-Unterstützung im Stager-Payload ist höchst experimentell und funktioniert selten. Falls es funktioniert, sehen Sie normalerweise, wie die Sessions starten und sofort sterben. Aber wenn Sie eine Session erhalten, die nicht sofort beendet wird, können Sie Maßnahmen ergreifen, um Ihren Sliver-Zugang zu erhalten, indem Sie zu einem anderen Prozess migrieren.

Führen Sie auf Ihrem Sliver-Server den Befehl stage-listener aus, um Ihren Listener einzurichten. Weitere Details zum Staging finden Sie in der Sliver-Dokumentation:

Führen Sie den Exploit im Stage-Modus aus:

Wenn der Exploit funktioniert (und bei Sliver- oder Meterpreter-Payloads funktioniert er nur sehr selten), sehen Sie etwa Folgendes (und ja, Sliver hat sich diesen Payload-Namen ganz allein ausgedacht!):

Als Erstes sollten Sie zu einem anderen Prozess migrieren, denn es besteht eine gute Chance, dass Ihre Sliver-Session stirbt und nicht zurückkehrt. Die Grundursache ist mir zum Zeitpunkt des Schreibens nicht bekannt.

An diesem Punkt sollten Sie eine stabile Sliver-Session haben, die gegen die Launen von Serv-U und dieses Exploits immun ist.

Download- und Ausführmodus

Dies ist der zuverlässigste Modus und derjenige, bei dem die Microsoft Defender Endpoint-Sicherheit am wenigsten wahrscheinlich anschlägt. Das liegt daran, dass er einen PowerShell-Befehl (powershell -Command "& {Add-MpPreference -ExclusionPath c:\windows\temp}") verwendet, um eine Verzeichnisausnahme in Microsoft Defender hinzuzufügen, damit Sliver-/Meterpreter-/andere Binaries nicht auf Malware gescannt werden. Das schützt Sie vor Windows Defender, aber das ist auch schon alles; Sie müssen andere Endpoint-Sicherheitstechnologie, Netzwerk-IDS usw. berücksichtigen.

Im Erfolgsfall wird eine Binärdatei von einer URL heruntergeladen und ausgeführt. Sie benötigen einen Webserver, der Ihre ausführbare Datei bereitstellt. Ich habe Python verwendet, aber bitte beachten Sie, dass ich in einem lokalen Netzwerk ohne SSL teste. Bei echten Exploits müssen Sie Ihre Einsatzregeln prüfen, wenn Sie unverschlüsselte URLs verwenden möchten.

Nicht zum ersten Mal: caveat emptor.

Starten Sie einen einfachen HTTP-Listener wie folgt:

Bei laufendem Listener können Sie den Exploit ausführen:

Sie sollten in Ihrem Listener etwa Folgendes sehen:

Das Zielsystem führt calc.exe aus und startet den Serv-U-Dienst neu, damit Benutzer sich wieder verbinden können. Beachten Sie, dass die ausführbare Datei kein Fenster anzeigt. Wenn Sie dieses Beispiel ausführen, sollten Sie wincalc.exe im Task-Manager sehen.

Befehlsausführungsmodus

Im Erfolgsfall führt er einen Befehl auf dem Zielsystem aus. Führen Sie es wie folgt aus:

Danksagungen

• Die Microsoft-Forscher, die die Schwachstelle gefuzzt haben: https://www.microsoft.com/security/blog/2021/09/02/a-deep-dive-into-the-solarwinds-serv-u-ssh-vulnerability/
• @NattiSamson hat den PoC erstellt, auf dem mein Code basiert: https://github.com/NattiSamson/Serv-U-CVE-2021-35211/blob/main/CVE-2021-35211_PoC.py

Schlussgedanken

Dieser Exploit bringt den entfernten Prozess leider häufig zum Absturz. In der Regel startet er neu, und ich versuche herauszufinden, ob ich ihn stabiler machen kann. Bis dahin denken Sie bitte daran: Prüfen Sie Ihre Einsatzregeln und caveat emptor.

Die Tatsache, dass ASLR in der Serv-U-DLL deaktiviert war, war unglaubliches Glück und hat viel Ärger erspart.

Andere Schutzmaßnahmen wie Control Flow Guard („CFG") waren ebenfalls deaktiviert. Auch das machte es einfach, einen Exploit zu schreiben, ohne Einschränkungen beim Zugriff auf kritische Funktionen wie GetProcAddress() umgehen zu müssen.

Es ist erwähnenswert, dass die Methode, mit der ich die Adresse des ROP-Stacks berechne, gelegentlich eine Adresse erzeugen kann, die nicht 64-Bit-ausgerichtet ist. Infolgedessen stürzt der Exploit ab, wenn GetProcAddress() eine MOVAPS-Instruktion erreicht (die ausgerichtete Speicheradressen erfordert). Um den Exploit zuverlässiger zu machen, könnte eine Lösung darin bestehen, den ROP-Stack zu zwingen, an einer ausgerichteten Adresse zu liegen; das erfordert etwas Anpassung des ROP-Payloads und bleibt dem Leser als Übung überlassen.