Installa i requisiti su ArchLinux:

Come funziona

1. Invio di un'email all'amministratore contenente un payload XSS
2. Il payload XSS carica da remoto il JavaScript CSRF
3. Il CSRF installa un plugin
4. Quando installato, il plugin esegue un comando di sistema: la reverse shell

File dell'exploit:

• config.yml contiene la configurazione della toolchain
• exploit.sh il wrapper dell'exploit che deve essere eseguito
• xss_mail.rb invierà l'email contenente la XSS all'amministratore tramite il server SMTP di Atmail (senza autenticazione).
• csrf_prepare.rb preparerà il payload CSRF (impostando il target e codificando l'archivio del plugin)
• rce_prepare.rb preparerà la RCE (generando la reverse shell e creando l'archivio del plugin)
• csrf_plugin.js il payload CSRF preparato
• la cartella noraj/ contenente l'architettura del plugin non compressa

Utilizzo

La toolchain di exploit richiede solo 2 passaggi manuali:

1. Modificare config.yml
2. Lanciare exploit.sh

Ma prima di lanciare l'attacco, un web server deve distribuire il file JavaScript CSRF e un listener di reverse shell deve essere in attesa della connessione. Quindi l'attacco sarà più simile a:

1. Modificare config.yml
2. Avviare un server HTTP che distribuirà csrf_plugin.js
3. Avviare il listener della reverse shell
4. Lanciare exploit.sh

Esempio di server HTTP in una riga:

Esempio di listener per reverse shell:

Note

• La RCE avviene solo quando il plugin è installato; se la connessione della reverse shell si perde, rieseguire significa re-installare il plugin. Quindi l'amministratore deve solo ricaricare la propria casella di posta.
• I red teamer potrebbero migliorare l'exploit per rimuovere automaticamente l'email una volta letta e per rimuovere il plugin una volta stabilita la connessione della reverse shell: meno persistente ma più stealth.
• msfvenom (MSF 5.0) supporta solo un indirizzo IP per LHOST, non un dominio.
• Come detto in Requisiti, l'amministratore deve essere connesso sia alla Webmail che all'interfaccia di amministrazione.
• Testato con ruby 2.7.