Voraussetzungen unter ArchLinux installieren:

Funktionsweise

1. Senden einer E-Mail mit einer XSS-Payload an den Administrator
2. Die XSS-Payload lädt das JavaScript-CSRF aus der Ferne
3. Das CSRF installiert ein Plugin
4. Nach der Installation führt das Plugin einen Systembefehl aus: die Reverse Shell

Exploit-Dateien:

• config.yml enthält die Toolchain-Konfiguration
• exploit.sh der Exploit-Wrapper, der ausgeführt werden muss
• xss_mail.rb sendet die E-Mail mit dem XSS an den Administrator über den Atmail-SMTP-Server (unauthentifiziert).
• csrf_prepare.rb bereitet die CSRF-Payload vor (setzt das Ziel und kodiert das Plugin-Archiv)
• rce_prepare.rb bereitet den RCE vor (generiert die Reverse Shell und erstellt das Plugin-Archiv)
• csrf_plugin.js die vorbereitete CSRF-Payload
• noraj/ Ordner mit der unkomprimierten Plugin-Architektur

Verwendung

Die Exploit-Toolchain erfordert nur 2 manuelle Schritte:

1. config.yml bearbeiten
2. exploit.sh starten

Aber bevor der Angriff gestartet wird, muss ein Webserver die JavaScript-CSRF-Datei ausliefern und ein Reverse-Shell-Listener auf die Verbindung warten. Der Angriff sieht also eher so aus:

1. config.yml bearbeiten
2. Einen HTTP-Server starten, der csrf_plugin.js ausliefert
3. Den Reverse-Shell-Listener starten
4. exploit.sh starten

Beispiel für einen einzeiligen HTTP-Server:

Beispiel für einen Reverse-Shell-Listener:

Hinweise

• Der RCE tritt nur auf, wenn das Plugin installiert ist; geht die Reverse-Shell-Verbindung verloren, bedeutet eine erneute Ausführung eine Neuinstallation des Plugins. Der Administrator muss also nur sein Postfach neu laden.
• Red-Team-Mitglieder könnten den Exploit verbessern, um die E-Mail nach dem Lesen automatisch zu entfernen und das Plugin zu entfernen, sobald die Reverse-Shell-Verbindung hergestellt ist: weniger persistent, aber heimlicher.
• msfvenom (MSF 5.0) unterstützt für LHOST nur eine IP-Adresse, keine Domain.
• Wie unter Voraussetzungen erwähnt, muss der Administrator sowohl im Webmail als auch in der Administrationsoberfläche angemeldet sein.
• Getestet mit ruby 2.7.