CVE-2018-1263-Demo

Demo educativa de exploit para CVE-2018-1263 (RCE/LFI en phpMyAdmin). Incluye configuración del entorno vulnerable mediante Docker y un recorrido paso a paso del ataque para aprender sobre explotación de aplicaciones web.

En este código, una vez que la condición del if se cumple, se ejecuta include $_REQUEST['target'];. Así que solo necesitamos omitir la condición del if para ejecutar lo que queramos.

Veamos la condición del if

1. Las dos primeras condiciones dicen que el parámetro target no puede estar vacío y debe ser una cadena.
2. La tercera condición restringe que el parámetro target comience con index.
3. La cuarta condición restringe que el parámetro target no esté en $target_blacklist
   • $target_blacklist se define justo antes de la condición del if e incluye import.php y export.php, lo que significa que se permite cualquier cosa excepto estas dos páginas.
4. La quinta y última condición es una comprobación de lista blanca para la validez de la página mediante una función existente en la clase Core: Core::checkPageValidity($_REQUEST['target']).
   • Como se muestra en el siguiente fragmento de código, la función checkPageValidity elimina todo lo que está después de ? de $page y comprueba si está en la lista blanca. La cadena después de ? no forma parte de la ruta de la URL. En el fragmento también se muestra un ejemplo de lista blanca.
   root@kitploit:~

   public static function checkPageValidity(&$page, array $whitelist = [])
   {
       // ...
       $_page = mb_substr($page, 0, mb_strpos($page . '?', '?'));
       // example $whitelist == array('db_sql.php', 'sql.php', ...)
       if (in_array($_page, $whitelist)) {
           return true;
       }
       // ...
       return false;
   } 
   

   • El punto importante a tener en cuenta aquí es que el atacante tiene control total sobre $page, ya que proviene directamente de $_REQUEST['target'].

Cómo funciona el ataque

Como se mencionó anteriormente, el atacante tiene control total sobre $page en la función checkPageValidity a través del parámetro $_REQUEST['target'] en la URL. Imaginemos que el atacante envía algo como lo siguiente usando el parámetro $_REQUEST['target'] en $page

La función checkPageValidity realiza lo siguiente

1. Primero divide la cadena en ? y asigna la primera parte a $page. Así, en este ejemplo, el valor de $page = db_sql.php.
2. Luego comprueba si $_page, es decir, db_sql.php, está en la lista blanca o no. Como está en la lista blanca, la función devuelve True y vuelve a index.php

Como la condición del if en index.php ahora es True, se ejecuta la siguiente línea, como se muestra en el fragmento de código de index.php anterior

Lo que sucede a continuación es

• La declaración anterior incluye el valor no dividido de $_REQUEST['target'], lo que significa que se ejecuta lo siguiente
  root@kitploit:~

  GET /index.php?target=db_sql.php?/../../../../../../../../etc/passwd
  

• Dado que PHP convierte mágicamente la ruta a /../../../../../../../../etc/passwd sin comprobar si db_sql.php existe o no, se ejecuta /../../../../../../../../etc/passwd y el contenido del archivo /etc/passwd se envía en la respuesta al atacante.

Ahora podemos usar esto para realizar inclusión de archivos locales o incluso ejecución remota de código para obtener una reverse shell. Cada vez que ejecutamos una consulta en phpMyAdmin, se crea un archivo de sesión y se almacena en el directorio /tmp con el contenido de la consulta. El archivo de sesión se llama sess_< SESSION ID >. El ID de sesión se puede encontrar fácilmente en la cookie usando la opción de inspección del navegador.

Entonces, si ejecutamos la siguiente consulta en phpMyAdmin

Se almacenará en el archivo de sesión. Imaginemos que nuestro ID de sesión para phpMyAdmin es e15cffd3ab25a631136611fba9ca2042

Luego, si activamos la siguiente dirección en el navegador

Entonces phpMyAdmin intentará cargar la página de sesión y, como la página contiene el código PHP proporcionado a través de la consulta, el código PHP se ejecutará y, en este ejemplo en particular, veremos phpinfo en la página cargada por el navegador. Con esta técnica podemos ejecutar cualquier código arbitrario en el servidor remoto.

Cómo instalar el componente vulnerable

La infraestructura del exploit requiere una versión vulnerable de phpMyAdmin y mysql. Usaremos contenedores docker para instalar los componentes necesarios. Para la versión vulnerable de phpMyAdmin usaremos el entorno docker preconstruido de Vulhub y para mysql usaremos la última versión oficial de dockerhub. El script de instalación se proporciona como un script yml de docker compose que se puede encontrar en el repositorio.

Asumimos que la máquina destinada tiene docker y docker-compose instalados. Si no es así, consulta la documentación de docker para instalarlos. Una vez que docker esté instalado, realiza los siguientes pasos para configurar el componente vulnerable:

Primero clona el repositorio en la máquina destinada y navega al directorio clonado

Luego ejecuta el script de docker compose usando el siguiente comando

Una vez que el proceso de instalación termine, docker expondrá la página de phpMyAdmin en el puerto 8080 de tu máquina. Puedes comprobarlo abriendo la página en tu navegador usando el siguiente formato de dirección

Si el proceso de instalación es exitoso, deberías ver una página como la siguiente

Cómo realizar el ataque

El siguiente video es un tutorial sobre cómo realizar el ataque

Enlace del video: https://drive.google.com/file/d/1UbLGEwMYswdrRAOMJLd0mFHbsNl1aPvt/preview

Referencias

[1] https://www.exploit-db.com/exploits/44928

[2] https://github.com/vulhub/vulhub

[3] https://docs.docker.com/get-docker/