CVE-2019-9053 — Exploit SQLi per CMS Made Simple (Python 3)

Disclaimer: Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e scopi educativi. Eseguirlo contro sistemi senza esplicita autorizzazione scritta è illegale. L'autore non si assume alcuna responsabilità per un uso improprio.

Panoramica

Questa è una portabilità in Python 3 dell'exploit pubblico per CVE-2019-9053 — una vulnerabilità non autenticata di SQL injection blind basata sul tempo in CMS Made Simple ≤ 2.2.9.

Il parametro vulnerabile è m1_idlist sull'endpoint /moduleinterface.php (modulo Notizie). L'input utente viene passato non sanificato in una query SQL, consentendo a un attaccante non autenticato di estrarre il salt dell'amministratore, nome utente, email e hash della password — e opzionalmente decifrare la password offline.

Exploit originale di Daniele Scanu @ Certimeter Group.
Portabilità in Python 3 con correzioni e pulizia.

Come Funziona

L'exploit utilizza un oracolo di temporizzazione — inietta SELECT sleep(T) in una condizione SQL LIKE e misura il tempo di risposta HTTP. Se il server si ferma per ≥ T secondi, la condizione iniettata era vera. Ciò consente di estrarre i dati un carattere alla volta senza che alcun dato appaia mai nel corpo della risposta HTTP.

Struttura del payload:
  m1_idlist=a,b,1,5))+and+(select+sleep(1)+from+cms_users
            +where+password+like+0x{hex(known_prefix+guess)}25
            +and+user_id+like+0x31)+--+

Ordine di estrazione:

Dopo l'estrazione, un attacco dizionario offline opzionale calcola MD5(salt + word) contro una wordlist — non sono necessarie ulteriori richieste di rete.

Modifiche per Python 3

Lo script originale era scritto per Python 2. Le seguenti modifiche sostanziali sono state corrette:

Requisiti

pip3 install requests termcolor

Utilizzo

# Estrazione base (nessuna decifratura password)
python3 exploit.py -u http://<target-ip>/simple

# Estrazione + decifratura offline password
python3 exploit.py -u http://<target-ip>/simple --crack -w /usr/share/wordlists/rockyou.txt

Opzioni

Esempio di Output

[+] Salt for password found: 1234abcd
[+] Username found: admin
[+] Email found: [email protected]
[+] Password found: a1b2c3d4e5f6...
[+] Password cracked: password123

Dettagli CVE

Riferimenti

• NVD — CVE-2019-9053
• Original exploit — Exploit-DB #46635
• CMS Made Simple

Note Legali

Questo exploit è fornito esclusivamente per test di penetrazione autorizzati e uso CTF/educativo.
L'uso non autorizzato contro sistemi che non possiedi o per cui non hai esplicita autorizzazione scritta per testarli è un reato penale ai sensi dell'IT Act, 2000 (India) e di leggi equivalenti in tutto il mondo.