Pour configurer un environnement vulnérable pour votre test, vous aurez besoin d'installer Docker, et exécutez simplement la commande suivante :

Et cela lancera une application web vulnérable sur votre hôte sur le port 8080

Exploitation

Pour exploiter cette cible, exécutez simplement :

Si vous utilisez cette image vulnérable, vous pouvez simplement exécuter :

Après l'exploitation, un fichier nommé backdoor.php sera stocké dans le dossier racine du répertoire web. Et l'exploit vous ouvrira un shell où vous pourrez envoyer des commandes à la porte dérobée :

Et voilà, vous avez votre shell. Il existe un autre exploit, qui illustre un autre cas d'utilisation.

Et si vous visitez à nouveau la page, vous verrez ceci :

Code vulnérable

Avant ce commit dans class.phpmailer.php, dans un certain scénario, il n'y a pas de filtre pour les caractères spéciaux dans l'adresse email de l'expéditeur. Cette faille peut conduire à une exécution de code à distance, via la fonction mail ici.

En analysant le code, il n'y a pas de filtre dans la fonction mailSend()

$this->Sender est directement ajouté à la variable $params, qui était filtrée dans la fonction validateAddress(), mais comme elle utilise la spécification RFC 3696, elle autorise certains caractères qui vont poser problème. Dans ce cas, les guillemets :

In addition to quoting using the backslash character, conventional double-quote characters may be used to surround strings. For example

"Abc@def"@example.com

"Fred Bloggs"@example.com

are alternate forms of the first two examples above. These quoted forms are rarely recommended, and are uncommon in practice, but, as discussed above, must be supported by applications that are processing email addresses. In particular, the quoted forms often appear in the context of addresses associated with transitions from other systems and contexts; those transitional requirements do still arise and, since a system that accepts a user-provided email address cannot "know" whether that address is associated with a legacy system, the address forms must be accepted and passed into the email environment.

Vous pouvez lire l'intégralité de la RFC ici si vous le souhaitez. Mais aussi, si la version de PHP est inférieure à 5.2.0 et que PCRE n'est pas installé, la variable $patternselect dans validateAddress() sera définie sur noregex. Cela fera que l'entrée pourra éviter toute vérification regex. Elle ne passera qu'à travers une petite vérification :

Ensuite, le flux de code va à la fonction mailPassthru(), qui, si elle s'exécute en safe_mode, ne sera pas vulnérable à cette faille, comme le précise le code suivant :

Mais, s'il ne s'exécute pas en safe_mode, alors notre paramètre spécial sera passé à mail() et, si nous avons de la chance, il prendra notre fichier contenant ce que nous voulons qui soit écrit là où nous choisissons de l'écrire.

Notes sur l'exploitation de la fonction mail() de PHP

L'exploitation de la fonction mail() de PHP n'est pas nouvelle, mais elle est toujours vivante et les gens l'utilisent encore. Pour expliquer comment cela fonctionne, regardons comment la fonction mail() est définie :

Il existe plusieurs méthodes d'exploitation pour différents résultats, nous allons nous concentrer sur l'exploitation du 5ème paramètre pour obtenir une exécution de code à distance (RCE). Le paramètre $additional_parameters est utilisé pour passer des indicateurs supplémentaires en tant qu'options de ligne de commande au programme configuré pour envoyer l'email. Cette configuration est définie par la variable sendmail_path.

Une note de sécurité de la documentation officielle de PHP :

The additional_parameters parameter can be used to pass additional flags as command line options to the program configured to be used when sending mail, as defined by the sendmail_path configuration setting. For example, this can be used to set the envelope sender address when using sendmail with the -f sendmiail option.

This parameter is escaped by escapeshellcmd() internally to prevent command execution. escapeshellcmd() prevents command execution, but allows to add additional parameters. For security reasons, it is recommended for the user to sanitize this parameter to avoid adding unwanted parameters to the shell command.

En considérant les paramètres supplémentaires qui peuvent être injectés, nous utiliserons -X pour exploiter cette faille. En savoir plus sur le paramètre -X

Il existe également d'autres paramètres intéressants que vous devriez connaître :

Et

Et pour l'option -O, le QueueDirectory est l'option la plus intéressante, cette option sélectionne le répertoire dans lequel placer les messages en file d'attente.

Si vous voulez lire la liste complète des paramètres et options, faites man sendmail ou lisez-la en ligne ici

Sur la base de ces informations et de la capacité à contrôler au moins un des autres paramètres, nous pouvons exploiter l'hôte. Ci-dessous les étapes pour une exploitation réussie :

• Contrôler $additional_parameters et un autre paramètre de mail()
• Connaître un répertoire accessible en écriture sur l'hôte cible qui est accessible via le système cible et l'utilisateur (www-data par exemple). Généralement, ce répertoire peut être n'importe quoi en dessous de webroot (ex: /var/www/html pour d'autres systèmes, /www pour cet exemple)
• N'importe quelle charge utile PHP que vous souhaitez, nous utilisons une simple charge utile system() dans cet exemple, avec une touche de base64 et quelques caractères spéciaux | pour faciliter l'analyse.
• Il suffit d'assembler le tout !

Souvenez-vous que l'option -X écrira le fichier journal, qui contiendra, parmi les informations de journal, votre charge utile PHP, dans le répertoire que vous indiquerez. Exemple de code PHP vulnérable :

Si vous exécutez le code ci-dessus, il créera un fichier journal dans /www/backdoor.php, c'est l'essence de cet exploit.

Charge utile

Ci-dessous la charge utile utilisée dans cet exemple

Je veux traquer les bugs, et maintenant ?

Vous voulez un moyen simple, en une commande, d'essayer de repérer cette faille ? Souvenez-vous de cette commande grep magique !

En l'exécutant sur ce dépôt, on obtient

Crédits

Cette vulnérabilité a été découverte par Dawid Golunski.

Avertissement

Ce programme ou les programmes précédents sont UNIQUEMENT à des fins éducatives. Ne l'utilisez pas sans autorisation. La clause de non-responsabilité habituelle s'applique, en particulier le fait que moi (opsxcq) ne suis pas responsable des dommages causés par l'utilisation directe ou indirecte des informations ou fonctionnalités fournies par ces programmes. L'auteur ou tout fournisseur d'accès Internet n'assume AUCUNE responsabilité quant au contenu ou à l'utilisation abusive de ces programmes ou de tout dérivé de ceux-ci. En utilisant ces programmes, vous acceptez le fait que tout dommage (perte de données, crash système, compromission du système, etc.) causé par l'utilisation de ces programmes n'est pas de la responsabilité d'opsxcq.