ecp_slap

यह CVE-2020-0688 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट है जिसमें एक संवेदनशील ऑन-प्रिमाइसेस एक्सचेंज इंस्टेंस की स्कैनिंग और शोषण के लिए फ़ंक्शन शामिल हैं।

Usage

scan - शोषण के लिए आवश्यक कुकीज़ प्राप्त करने हेतु क्रेडेंशियल और लक्ष्य जानकारी प्रदान करें, और उन्हें 'cookies.txt' में सहेजें। यह लक्षित एक्सचेंज सर्वर के लिए एक्सचेंज कंट्रोल पैनल (ECP) सेवा के एक्सपोज़र की भी जाँच करता है, इस सेवा में प्रमाणीकरण का प्रयास करता है, और उपयुक्त VIEWSTATEGENERATOR मान के मिलान की जाँच करता है। यदि प्रमाणीकरण सफल होता है, तो क्रमबद्ध पेलोड निर्माण के लिए सत्र कुकी मान का आउटपुट प्रदर्शित किया जाएगा।

generate - 'scan' फ़ंक्शन से प्राप्त सत्र कुकी मान, साथ ही कोड निष्पादन के लिए एक कमांड प्रदान करें। यह आपके इनपुट को ysoserial.net के लिए फ़ॉर्मेट करेगा ताकि कोड निष्पादन के लिए एक क्रमबद्ध पेलोड उत्पन्न हो सके। ysoserial के आउटपुट को 'payload.txt' जैसी फ़ाइल में सहेजें।

exploit - सफल प्रमाणीकरण के साथ 'scan' फ़ंक्शन का उपयोग करके प्राप्त कुकीज़ फ़ाइल के इनपुट को लेता है, और आपकी पेलोड फ़ाइल की सामग्री को URL-एनकोड करता है। यह शोषण संवेदनशील ऑन-प्रिमाइसेस एक्सचेंज इंस्टेंस के विरुद्ध कोड निष्पादन को ट्रिगर करने के लिए उपयुक्त प्रमाणित अनुरोध करता है।

$./ecp_slap
scan - Scan an Exchange host and obtain cookies needed for exploitation:
./ecp_slap scan -t 10.1.1.5 -d corp.local -u admin -p badpassword 
./ecp_slap scan -t mail.corp.com -d CORP -u admin -p badpassword 

generate - Generate the ysoserial.net command for payload creation:
./ecp_slap generate -s [ASP.NET_SessionId] -c [COMMAND]
./ecp_slap generate -s 81c35474-6a73-4a1c-af45-b3985e7d7ad1 -c "echo test > C:/temp/test.txt"

exploit - Exploitation of a vulnerable Exchange server:
./ecp_slap exploit -t 192.168.5.22 -c cookies.txt -p payload.txt
./ecp_slap exploit -t mail.corp.com -c cookies.txt -p payload.txt

Notes for Exploitation

यदि आपने उस ऑन-प्रिमाइसेस एक्सचेंज के संस्करण को सत्यापित कर लिया है जिसका आप शोषण करने का प्रयास कर रहे हैं:

1. आंतरिक या बाहरी नेटवर्क परिप्रेक्ष्य से ECP प्रमाणीकरण उजागर है जिसका परीक्षण कर रहे हैं
2. आपके पास जो क्रेडेंशियल हैं वे विशेष रूप से ECP तक पहुँचने की अनुमति देते हैं (https://mail.corp.com/ecp)
3. एक बिल्ड नंबर है जो संवेदनशील है

लेकिन फिर भी आप सफल कोड निष्पादन को सत्यापित करने में सक्षम नहीं हैं, तो कोड निष्पादन काम कर रहा है या नहीं, इसका मूल्यांकन करने के लिए सरल कमांड निष्पादित करने पर विचार करें, जैसे:

• lolbin के साथ अपनी मशीन पर HTTP GET अनुरोध
• अपने स्वामित्व वाले एक आधिकारिक DNS सर्वर पर 'nslookup' के साथ DNS क्वेरी
• ping और ICMP की निगरानी करें

Manual Validation and Exploitation of Vulnerability

MSRC सुरक्षा सलाहकार से शुरुआत करें जिसमें पैच और ऑन-प्रिमाइसेस एक्सचेंज के संवेदनशील संस्करणों के बारे में विवरण शामिल होंगे। पैच को Microsoft के एक्सचेंज बिल्ड नंबर के साथ क्रॉस-रेफरेंस करने से संवेदनशीलता निर्धारित करने में मदद मिलेगी। इस भेद्यता के शोषण को मैन्युअल रूप से दोहराने के लिए, अद्भुत ZDI लेख का अनुसरण करें।

GoLang Setup and Compilation

यदि आप संकलित रिलीज़ लेने के बजाय इस प्रोजेक्ट को स्रोत से संकलित करना चुनते हैं, तो अपना Go वातावरण सेट करना अक्सर GoLang स्थापित करने और उपयुक्त पर्यावरण चर सेट करने जितना आसान होता है। ऐसा करने के चरण यहाँ दस्तावेज़ित हैं।

To-Do

• scan - प्रमाणित एक्सचेंज बिल्ड नंबर को ध्यान में रखने के लिए कार्यक्षमता जोड़ें
• scan & exploit - गैर-मानक ऑन-प्रिमाइसेस एक्सचेंज प्रमाणीकरण के दौरान संभावित NTLMSSP को ध्यान में रखें
  • कोड लिखा गया है, इस मामले में अलग से जाँच और प्रमाणीकरण के लिए तर्क जोड़ने की आवश्यकता है

Credits

• Simon Zuckerbraun / ZDI - अद्भुत लेख के लिए जो बताता है कि यह शोषण कैसे काम करता है और व्यावहारिक शोषण कितना आसान हो सकता है
• actuated - इसे स्क्रिप्ट करते समय समस्या निवारण, विचार-मंथन और प्रश्नों के उत्तर देने के लिए