Havoc-PWN (Authentifié)

Cette chaîne SSRF-RCE a été inspirée par le POC SSRF CVE-2024-41570 de chebuya et le Havoc Auth RCE d'IncludeSecurity. Ces deux exploits sont incroyables et bien conçus, merci de témoigner votre reconnaissance à leurs créateurs pour leur travail acharné !

• chebuya
• hyperreality

Comment cela fonctionne-t-il ?

La vulnérabilité SSRF fonctionne en usurpant l'enregistrement et les check-ins d'un agent démon pour ouvrir un socket TCP sur le teamserver et lire/écrire des données à partir de celui-ci. La vulnérabilité RCE fonctionne en exploitant une faille dans la création de Payload de Havoc en injectant du code dans le Service-Name, une chaîne non filtrée, permettant à un Utilisateur Authentifié d'exécuter des Commandes Système sur le teamserver.

Le port websocket d'un teamserver étant inaccessible au public, nous pouvons créer des fonctions qui génèrent des trames WebSocket que nous pouvons pousser vers le port Teamserver Fermé/Filtré via le SSRF.

Considérez ce qui suit. . .

• Si le port du Teamserver est Fermé/Filtré, le Teamserver doit être hébergé sur un serveur web-socket non sécurisé (ws://) pour que ce POC fonctionne. Je ne suis pas un expert en réseau ou en protocole TLS, mais s'il existe un potentiel pour envoyer des données avec succès à un serveur web-socket sécurisé wss:// via le SSRF, cet exploit pourrait potentiellement avoir un large impact.
• Si le port du Teamserver est Ouvert et accessible publiquement, vous n'avez pas besoin d'utiliser le SSRF ; si vous disposez d'identifiants valides, utilisez la partie Auth-RCE de l'exploit.