CVE-2019-9053 — CMS Made Simple SQLインジェクション (Python 3)

CMS Made Simple <= 2.2.9 を対象とした、時間ベースのブラインドSQLインジェクションエクスプロイトのPython 3移植版です。
オリジナルのエクスプロイトは Daniele Scanu @ Certimeter Group によるものです。

脆弱性

項目	詳細
CVE	CVE-2019-9053
影響を受けるソフトウェア	CMS Made Simple <= 2.2.9
脆弱性の種類	未認証の時間ベースブラインドSQLインジェクション
攻撃ベクトル	ネットワーク (認証不要)
パラメータ	Newsモジュールの `m1_idlist`

News モジュールは m1_idlist GETパラメータのサニタイズに失敗するため、未認証の攻撃者が時間遅延を利用してデータベースから機密データを1文字ずつ抽出できます。

要件

Python 3.6+
pipパッケージ:

pip install requests termcolor

使用方法

基本 — 認証情報のダンプのみ

python3 CVE-2019-9053_py3.py -u http://target/cms

パスワードクラッキングあり

python3 CVE-2019-9053_py3.py -u http://target/cms --crack -w /path/to/wordlist.txt

全オプション

python3 CVE-2019-9053_py3.py --help

フラグ	説明
`-u`, `--url`	対象のCMS Made SimpleインストールのベースURL
`-w`, `--wordlist`	パスワードクラッキング用のワードリストファイルのパス
`-c`, `--crack`	パスワードクラッキングモードを有効化 (`-w` が必要)

実行例

python3 CVE-2019-9053_py3.py -u http://10.49.164.146/simple/ --crack -w /usr/share/wordlists/rockyou.txt

想定される出力:

[+] Salt for password found: 1234abcd
[+] Username found: admin
[+] Email found: [email protected]
[+] Password found: 0c01f4468bd75d7a84c7eb73846e8d96
[+] Password cracked: password123

仕組み

ソルトのダンプ — cms_siteprefs テーブルに対して sitemask の値 (パスワードソルト) を問い合わせる
ユーザー名のダンプ — cms_users から user_id = 1 のユーザー名を抽出する
メールアドレスのダンプ — cms_users から user_id = 1 のメールアドレスを抽出する
パスワードのダンプ — cms_users から user_id = 1 のMD5パスワードハッシュを抽出する
クラック (任意) — 各行について MD5(salt + wordlist_entry) を計算し、ダンプしたハッシュと比較する

インジェクションは SELECT SLEEP(N) を用いて各文字を推測します。レスポンスに遅延があれば、推測した文字が正しいことを意味します。

ヒント: スクリプトが遅い、または不安定な場合は、ネットワーク遅延を考慮してスクリプト内の TIME 変数を増やしてください。

オリジナルからのPython 3での変更点

変更	詳細
`print` 文	`print()` 関数に変換
`optparse`	`argparse` に置き換え (optparseはPython 3で非推奨)
`hashlib.md5()`	入力は `.encode('utf-8')` を介してバイト列にエンコードされるように変更
ファイル読み込み	`.readlines()` を `with` ブロックと `.strip()` に置き換え

参考資料

Exploit-DB #46635 — オリジナルのエクスプロイト
NVD — CVE-2019-9053
CMS Made Simple

ライセンス

本プロジェクトは教育目的でのみ提供されています。ライセンス条件についてはExploit-DB上のオリジナルのエクスプロイトを参照してください。

CVE-2019-9053

人気