🔍 Beschreibung

SP Page Builder stellt die Controller-Aufgabe asset.uploadCustomIcon zur Verfügung, um das Hochladen eines benutzerdefinierten Icon-Font-Pakets zu handhaben:

In verwundbaren Versionen ist diese Aufgabe ohne Authentifizierung und ohne gültiges CSRF-Token erreichbar. Sie akzeptiert ein ZIP-Archiv (Multipart-Feld custom_icon) und extrahiert dessen Inhalt in ein öffentlich zugängliches Verzeichnis unter dem Web-Root:

Da der Endpunkt vor der Authentifizierung zugänglich ist und die extrahierten Dateien in einem durchsuchbaren Ort landen, kann ein Angreifer beliebige Dateien hochladen und PHP-Code durch HTTP-Anfragen ausführen.

Technik zur Codeausführung

Dieser Exploit umgeht gängige serverseitige Dateinamenfilter mittels:

1. Groß-/Kleinschreibung umgehen – Der Filter weist kleingeschriebene .php, .phtml, .phar usw. zurück, normalisiert aber die Groß-/Kleinschreibung nicht, so dass .PHP und andere gemischte Varianten akzeptiert werden.
2. Gültige Icon-Font-Struktur – Der Exploit verpackt ein gültiges selection.json, style.css und fonts/<name>.ttf, damit der Upload akzeptiert wird.
3. Shell-Platzierung – Eine PHP-Web-Shell wird unter fonts/shxt.{ext} im extrahierten Archiv abgelegt.

📦 Funktionen

• Multithreaded Scannen und Ausnutzung (konfigurierbare Thread-Anzahl)
• Automatische URL-Korrektur – hängt den erforderlichen Endpunkt-Pfad automatisch an
• Unterstützung für zwei Erweiterungen – versucht .php und .PHP Varianten
• Shell-Verifikation – prüft, ob die hochgeladene Shell erreichbar und funktionsfähig ist
• Ergebnisprotokollierung – speichert erfolgreiche Shell-URLs in result.txt
• Fortschrittsverfolgung – zeigt Echtzeit-Status und Statistiken an

🚀 Verwendung

Voraussetzungen

• Python 2.7
• requests Bibliothek

Installation

Grundlegende Verwendung

Mit benutzerdefinierter Thread-Anzahl

Eingabedateiformat

list.txt sollte eine Ziel-URL pro Zeile enthalten:

Ausgabe

· Erfolgreiche Shell-URLs werden an result.txt angehängt · Jede Zeile enthält die vollständige URL zur hochgeladenen PHP-Shell

⚙️ Funktionsweise

1. URL-Korrektur – Hängt automatisch index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon an, falls nicht bereits vorhanden.
2. ZIP-Erstellung – Erstellt ein gültiges Icon-Font-ZIP-Archiv, das die PHP-Shell unter fonts/shxt.{ext} enthält.
3. Upload – Sendet das ZIP per Multipart-POST an den verwundbaren Endpunkt.
4. Verifikation – Prüft, ob die Shell erreichbar ist und die erwartete Ausgabe (Vorhandensein von "Upload") zurückgibt.
5. Protokollierung – Speichert erfolgreiche Shell-URLs in result.txt.

Shell-Payload

Die eingebettete Shell bietet:

· Server-Umgebungsinformationen (php_uname()) · Datei-Upload-Schnittstelle zum Hochladen zusätzlicher Dateien · Erfolgs-/Fehlerrückmeldung

🛡️ Gegenmaßnahmen

· Aktualisieren Sie SP Page Builder auf Version 6.6.2 oder neuer. · Überprüfen Sie Upload-Verzeichnisse auf nicht autorisierte Dateien: · /media/com_sppagebuilder/assets/iconfont/ · Entfernen Sie alle unerwarteten PHP-Dateien, die in diesen Verzeichnissen gefunden werden. · Überprüfen Sie Serverprotokolle auf verdächtige POST-Anfragen an asset.uploadCustomIcon. · Setzen Sie eine Web Application Firewall (WAF) ein, um solche Anfragen zu blockieren.

⚠️ Haftungsausschluss

Dieses Tool dient ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken.

Unbefugter Zugriff auf Computersysteme ist illegal. Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Verwenden Sie dieses Tool nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben.

Weitere Haftungsausschlüsse finden Sie auf dem Deckblatt von Jenderal92. Sie können es HIER!!! ansehen

📚 Referenzen

· Censys Advisory · NVD Entry · JoomShaper Security Announcement

📄 Lizenz

Dieses Projekt dient nur zu Bildungs- und Forschungszwecken. Nutzung auf eigene Gefahr.