CVE-2018-15133-PoC

यह Python स्क्रिप्ट असुरक्षित डिसीरियलाइज़ेशन के माध्यम से कमजोर Laravel अनुप्रयोगों के लिए एक रिमोट कोड निष्पादन (RCE) एक्सप्लॉइट लागू करती है, जो CVE-2018-15133 भेद्यता पर आधारित है।

यह एक्सप्लॉइट Laravel (संस्करण 5.5.40 और पहले, तथा 5.6.0 से 5.6.29) में एक भेद्यता का लाभ उठाता है जहाँ एन्क्रिप्टेड सत्र बिना उचित सत्यापन के स्वचालित रूप से डिसीरियलाइज़ हो जाते हैं। Laravel की APP_KEY तक पहुँच के साथ, एक हमलावर दुर्भावनापूर्ण पेलोड एन्क्रिप्ट कर सकता है जो सर्वर पर डिसीरियलाइज़ और निष्पादित हो जाएंगे।

लारवेल सत्र प्रणाली की कार्यप्रणाली

Laravel सत्रों के लिए तीन घटकों के साथ एक सममित एन्क्रिप्शन तंत्र का उपयोग करता है:

• IV (Initialization Vector): प्रत्येक सत्र के लिए उत्पन्न यादृच्छिक प्रारंभिक वेक्टर

• Value: AES-128-CBC या AES-256-CBC का उपयोग करके एन्क्रिप्ट किया गया मान

• MAC: IV + value + APP_KEY पर गणना किया गया संदेश प्रमाणीकरण कोड (HMAC-SHA256)

प्रक्रिया:

• तीन इनपुट पैरामीटर प्राप्त करता है: Laravel की APP_KEY base64 में, निष्पादित किया जाने वाला कमांड और लक्ष्य डोमेन

• गैजेट चेन Laravel/RCE5 के साथ दुर्भावनापूर्ण PHP ऑब्जेक्ट चेन उत्पन्न करने के लिए PHPGGC टूल को आमंत्रित करता है

• ऑपरेटिंग सिस्टम कमांड बनाता है जो पीड़ित सर्वर पर निष्पादित होगा (उदाहरण: system('whoami');)

• श्रृंखलाबद्ध गैजेट्स युक्त क्रमबद्ध PHP पेलोड उत्पन्न करता है

• पेलोड को base64 से बाइनरी प्रारूप में डिकोड करता है

• यदि मौजूद हो तो "base64:" उपसर्ग हटाकर APP_KEY को संसाधित करता है

• कुंजी को मान्य base64 बनाने के लिए आवश्यक पैडिंग पूरा करता है

• कुंजी को base64 से बाइट्स में डिकोड करता है

• 16 बाइट्स का यादृच्छिक प्रारंभिक वेक्टर (IV) उत्पन्न करता है

• पेलोड को कुंजी और IV के साथ CBC मोड में AES का उपयोग करके एन्क्रिप्ट करता है

• एन्क्रिप्शन से पहले पेलोड पर PKCS7 पैडिंग लागू करता है

• IV को base64 में एन्कोड करता है

• सिफरटेक्स्ट (एन्क्रिप्टेड पेलोड) को base64 में एन्कोड करता है

• HMAC के लिए संदेश के रूप में IV और value को base64 में संयोजित करता है

• कुंजी को गुप्त (secret) के रूप में संयोजित संदेश पर HMAC-SHA256 का उपयोग करके MAC की गणना करता है

• तीन क्षेत्रों वाला एक JSON ऑब्जेक्ट बनाता है: iv, value और mac

• पूरे JSON को base64 में एन्कोड करता है

• laravel_session कुकी में पेलोड के साथ curl का उपयोग करके एक HTTP अनुरोध बनाता है

• लक्ष्य डोमेन पर अनुरोध भेजता है

• Laravel सर्वर कुकी प्राप्त करता है और base64 डिकोड करता है

• Laravel प्राप्त IV और value के विरुद्ध MAC की अखंडता की पुष्टि करता है

• Laravel अपनी APP_KEY के साथ AES-CBC का उपयोग करके सामग्री डिक्रिप्ट करता है

• Laravel डिक्रिप्ट की गई सामग्री को स्वचालित रूप से डिसीरियलाइज़ करता है

• PHP डिसीरियलाइज़ किए गए ऑब्जेक्ट्स के मैजिक फ़ंक्शन __destruct() या __wakeup() को आमंत्रित करता है

• गैजेट श्रृंखला ट्रिगर होती है जो call_user_func() या eval() में समाप्त होती है

• सर्वर पर ऑपरेटिंग सिस्टम कमांड निष्पादित होता है

यह एक्सप्लॉइट गैजेट श्रृंखलाओं का उपयोग करता है जो PHP के मैजिक फ़ंक्शन कॉल को श्रृंखलाबद्ध करती हैं:

डिसीरियलाइज़ेशन के दौरान, PHP स्वचालित रूप से __destruct() या __wakeup() को आमंत्रित करता है, जो उस श्रृंखला को शुरू करता है जो eval() में समाप्त होती है और मनमाना कोड निष्पादित करती है।

पूर्वापेक्षाएँ एक्सप्लॉइट के काम करने के लिए, हमलावर को आवश्यकता होती है:

• Laravel की APP_KEY (पर्यावरण चरों के रिसाव, उजागर S3 बकेट, स्रोत कोड आदि के माध्यम से प्राप्त)

• डिफ़ॉल्ट रूप से सक्षम डिसीरियलाइज़ेशन के साथ Laravel का कमजोर संस्करण

• PHPGGC ./phpggc/ निर्देशिका में स्थापित https://github.com/ambionics/phpggc

उपयोग उदाहरण

python exploit.py "base64:dGhpc2lzYXNlY3JldGtleQ==" "whoami" "http://target.htb"
Este comando generará un payload serializado que ejecutará whoami cuando Laravel deserialice la sesión.