Magento 2 RCE エクスプロイト - 未認証ファイルアップロードによる RCE

⚠️ このツールは教育目的および許可を得たセキュリティテスト専用です。所有していないシステムに対する不正使用は違法です。

このエクスプロイトは、Magento 2（Adobe Commerce）における重大な未認証リモートコード実行（RCE）脆弱性を標的とします。GraphQL による製品検索、ゲストカート作成、カスタム製品オプションを介した悪意のあるファイルアップロードを連鎖させることで、攻撃者は PHP ウェブシェルをアップロードし、対象サーバー上で任意のコード実行を達成できます。

この脆弱性により、リモートの攻撃者はサーバーのファイルシステムに PHP ファイルを書き込み、それにアクセスしてシステムコマンドの実行、ファイルの読み書き、Magento インストールの完全な侵害が可能になります。

特徴

マルチスレッドでのスキャンとエクスプロイト（最大10の同時スレッド）
GraphQL 経由での製品 SKU の自動検出
ゲストカートを作成し、カスタムオプションファイルとして PHP ウェブシェルをアップロードします
一意のマーカー（Shinday）を確認して、シェルの展開を検証します
成功したシェル URL を up.txt に保存します
キューに基づくワークロード分散により、大量のターゲットリストを処理します

仕組み

GraphQL 製品クエリ – /graphql から有効な製品 SKU を取得します。
ゲストカート作成 – /rest/default/V1/guest-carts を呼び出してカート ID を取得します。
悪意のあるファイルアップロード – base64 エンコードされた PHP ウェブシェルをカスタムオプションファイルとして /rest/default/V1/guest-carts/{cart_id}/items に POST リクエストを送信します。
シェルの展開 – サーバーはファイルを /pub/media/custom_options/quote/... または /media/custom_options/quote/... に保存します。
検証 – スクリプトはアップロードされた PHP ファイルの取得を試み、レスポンスに文字列 Shinday が含まれるか確認します。
出力 – 成功したシェル URL が up.txt に追記されます。

必要条件

Python 2.7（スクリプトは Queue、unicode など、Python 2 固有のモジュールを使用します）
requests、urllib3 ライブラリ

依存関係をインストール:

pip install requests urllib3

使用方法

python exploit.py <list.txt>

<list.txt> – ターゲットのベース URL を含むファイル（1行に1つ）。http:///https:// の有無は任意です。
例:
```
https://example.com
http://shop.test
magento2.target.net
```

出力

コンソールログには、進捗状況、SKU、カート ID、アップロードステータス、および成功した場合の最終シェル URL が表示されます。
成功したシェル URL は、カレントディレクトリ内の up.txt に保存されます。

実行例

python exploit.py targets.txt
[*] Total targets: 5
[*] Start time: 2025-03-15 12:00:00
[*] Starting 5 threads...

[Thread 1] Processing: https://example.com
[+] SKU  : 24-WG080
[+] CART : 8f7c3e9a-1b2f-4d5e-9a8b-7c6d5e4f3a2b
[+] Upload Status : 200
[+] Webshell terpasang: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php
[✓] Saved to up.txt: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php

ウェブシェルの詳細

アップロードされる PHP ファイルはシンプルなファイルマネージャー（xxxxx_shin.php のような名前）で、リクエストに応じてウェブベースのファイルエクスプローラーを提供します。このファイルには、スクリプトがアップロード成功を検証するために使用する一意のマーカー Shinday が含まれています。

テスト後はこのシェルをシステムに残さないでください。直ちに削除してください。

緩和策

Adobe / Magento のセキュリティパッチを直ちに適用してください。
不要な場合は未使用の GraphQL エンドポイントを無効にしてください。
ファイルアップロードを認証済みユーザーのみに制限してください。
Web アプリケーションファイアウォール（WAF）を使用して悪意のある POST パターンをブロックしてください。
/media/custom_options/ に予期しない PHP ファイルがないか定期的に監査してください。

免責事項

このソフトウェアは教育目的および許可を得たペネトレーションテスト専用として提供されます。作者は、このツールによって引き起こされた誤用や損害について一切責任を負いません。このエクスプロイトを対象に対して実行する前に、システム所有者から明示的な書面による許可を得る必要があります。コンピュータシステムへの不正アクセスは、ほとんどの管轄区域で犯罪行為です。

追加の免責事項: Jenderal92 のカバーに記載されている免責事項を確認できます。こちら !!!

Magneto-PolyShell

人気