ターゲット

このPoCは Hack The Box マシンに対して作成およびテストされました：

ターゲットエンドポイント: http://devarea.htb:8080/employeeservice

ただし、ターゲットのWSDLに応じてXMLペイロードを少し変更することで、ターゲット環境に適応できます。

使用方法

/etc/passwd の読み取り（デフォルトターゲット）

デフォルトのURLは http://devarea.htb:8080/employeeservice です。

カスタムターゲットURL

詳細モード — リクエストと生のレスポンスを表示

他のターゲットへの適応

重要: このスクリプトはHTB DevAreaのWSDL構造にハードコードされています。別の脆弱なApache CXFサービスに対して使用するには、ターゲットのWSDL契約に合わせて build_payload() 内のSOAPペイロードを修正する必要があります。

適応の手順：

1. WSDLを取得する ターゲットから：

   root@kitploit:~

   curl http://target:8080/employeeservice?wsdl
   

2. サービスの詳細を特定する：

   • targetNamespace（例：http://devarea.htb/）
   • 操作名（例：submitReport）
   • パラメータ構造（例：ネストされた <content> を持つ <arg0>）

3. ペイロードを修正する build_payload() 内で：

   • 名前空間を更新する（xmlns:dev="..."）
   • 操作名を更新する（<dev:submitReport>）
   • パラメータラッパーを更新する（<arg0>）
   • サーバーが添付ファイルとして処理するフィールド内に <xop:Include href="file://{filepath}"/> を配置する

4. --url を更新する スクリプト実行時。

WSDL適応の例

次のWSDLスニペットがある場合：

ペイロードは次のようになります：

動作原理

1. スクリプトは Content-Type: application/xop+xml を使用して multipart/related HTTPリクエストを作成します。
2. SOAPボディ内に <xop:Include href="file:///etc/passwd"/> 要素が配置されます。
3. 脆弱なCXFサーバーはこれを添付ファイル参照として扱い、file:// URIを逆参照します。
4. ファイルの内容が読み取られ、サーバーによってbase64エンコードされ、SOAPの <return> 要素内に返されます。
5. スクリプトは Content: の後のbase64文字列を抽出し、デコードします。

参照

免責事項

このツールは許可されたセキュリティテストおよび教育目的のみを意図しています。所有していないシステムをテストする前に、必ず明示的な許可を得てください。作者はこのスクリプトによって引き起こされた誤用や損害について一切の責任を負いません。

ライセンス

MIT ライセンス — 適切な帰属表示のもとで自由に使用、修正、共有できます。