Instalar requisitos en ArchLinux:

Cómo funciona

1. Envío de un correo al administrador que contiene un payload XSS
2. El payload XSS carga remotamente el CSRF de JavaScript
3. El CSRF instala un plugin
4. Cuando se instala el plugin, ejecuta un comando del sistema: la reverse shell

Archivos del exploit:

• config.yml contiene la configuración de la cadena de herramientas
• exploit.sh el envoltorio del exploit que debe ejecutarse
• xss_mail.rb enviará el correo que contiene el XSS al administrador a través del servidor SMTP de Atmail (sin autenticación).
• csrf_prepare.rb preparará el payload CSRF (estableciendo el objetivo y codificando el archivo del plugin)
• rce_prepare.rb preparará el RCE (generando la reverse shell y creando el archivo del plugin)
• csrf_plugin.js el payload CSRF preparado
• carpeta noraj/ que contiene la arquitectura del plugin sin comprimir

Uso

La cadena de herramientas del exploit solo requiere 2 pasos manuales:

1. Editar config.yml
2. Lanzar exploit.sh

Pero antes de lanzar el ataque, un servidor web necesita entregar el archivo JavaScript CSRF y un listener de reverse shell necesita estar esperando la conexión. Así que el ataque se verá más como:

1. Editar config.yml
2. Iniciar un servidor HTTP que entregue csrf_plugin.js
3. Iniciar el listener de reverse shell
4. Lanzar exploit.sh

Ejemplo de servidor HTTP en una línea:

Ejemplo de listener de reverse shell:

Notas

• El RCE ocurre solo cuando el plugin está instalado; si se pierde la conexión de reverse shell, re-ejecutar significa re-instalar el plugin. Así que el administrador solo necesita recargar su buzón.
• Los red teamers podrían mejorar el exploit para auto-eliminar el correo una vez leído y eliminar el plugin una vez que se establece la conexión de reverse shell: menos persistente pero más sigiloso.
• msfvenom (MSF 5.0) solo admite una dirección IP para LHOST, no un dominio.
• Como se dijo en Requisitos, el administrador necesita estar conectado tanto en el Webmail como en la interfaz de administración.
• Probado con ruby 2.7.