iTop-CVEs-exploit

Questo repository contiene exploit per iTOP CVE-2024-52002, 52000, 31998, 31448 che sfruttano il concatenamento di CSRF+XSS per ottenere privilegi di amministratore sul software.

Configurazione

1. Scarica la versione vulnerabile di iTOP da docker

sudo docker run -d -p 8090:80 --name=my-itop2 vbkunin/itop:3.1.1 

2. Vai su localhost:8090 ed esegui l'installazione standard
3. Usa il comando seguente per ottenere la password

sudo docker logs my-itop2 | grep -A7 -B1 "Your MySQL user 'admin' has password"

Dovrebbe apparire qualcosa di simile

4. Ora prosegui con i passaggi dell'installazione standard
5. Questo conclude la fase di configurazione e ora puoi accedere a iTOP

Sfruttamento

Sentiti libero di esplorare il software iTOP.

Per un attaccante, la cosa più preziosa sarebbe ottenere accesso remoto al software tramite il login amministratore situato all'indirizzo http://localhost:8090/pages/UI.php?c%5Bmenu%5D=UserAccountsMenu

XSS

Iniziamo testando l'exploit XSS; puoi usare il file xss.csv in questo repository GitHub per testarlo.

1. Vai su http://localhost:8090/pages/csvimport.php?c%5Bmenu%5D=CSVImport
2. Clicca su Select a File e carica il file xss.csv
3. Continua con le opzioni standard fino al Passo 3
4. Al Passo 3, seleziona Person come tipo di importazione
5. Cliccando su Simulate the import possiamo vedere la XSS
6. Questo dimostra la presenza della XSS.
7. Da sola non ha molto valore; ci torneremo più avanti.

CSRF

Esploriamo la CSRF, poiché le pagine delle CVE ci dicono che sono presenti CSRF su più pagine. Sia la CSRF che la XSS da sole non ci danno molto, ma insieme possiamo fare qualcosa per creare infine un account amministratore.

1. Eseguiamo un semplice test: osservando tutti i parametri con burpsuite, creeremo un semplice file html di test e lo ospiteremo su un server python. (first_step_import_data.html) python3 -m http.server 9001
2. Questo file sfrutta la CSRF e la XSS di cui sopra per mostrarci tramite alert il token CSRF necessario per completare l'operazione di importazione.
3. Abbiamo scoperto che questo token non è legato ad alcuna azione; quindi, una volta ricevuto il token, possiamo far eseguire all'utente un'altra operazione ottenendo il token dalla pagina vulnerabile alla XSS.
4. Quando ospiti il file html precedente e ci clicchi sopra come utente autenticato, vedrai il token mostrato tramite alert nel browser.
5. Ora modificheremo questo exploit per chiamare il nostro server con il token, che verrà poi concatenato all'altra parte dell'exploit, dove verrà usato per creare un utente. first_step_add_user.html e last_step_add_user.html

Possiamo vedere che quando l'utente clicca sul link first_step_add_user.html, prima usa la CSRF+XSS per ottenere il token dell'azione e poi lo usa per creare l'utente tramite concatenamento. In sostanza diventa CSRF+XSS+CSRF

Il link vulnerabile può essere inviato all'utente utilizzando un esempio di email di phishing aggiunto nel repository GitHub.

Riferimenti

• https://nvd.nist.gov/vuln/detail/cve-2024-52002
• https://nvd.nist.gov/vuln/detail/cve-2024-52000
• https://nvd.nist.gov/vuln/detail/CVE-2024-31998
• https://nvd.nist.gov/vuln/detail/CVE-2024-31448
• https://owasp.org/www-community/HttpOnly
• https://bugbase.ai/blog/how-to-bypass-csrf-protection
• https://medium.com/sessionstack-blog/how-javascript-works-5-types-of-xss-attacks-tips-on-preventing-them-e6e28327748a
• https://www.sitepoint.com/get-url-parameters-with-javascript/
• https://portswigger.net/web-security/csrf#how-to-construct-a-csrf-attack
• https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS