CVE-2024-4040 SSTI 및 LFI PoC - 익스플로잇 | CrushFTP

CrushFTP의 SSTI (Server Side Template Injection) 및 LFI (Local File Inclusion) 취약점에 대한 개념 증명입니다.

특징

CrushFTP 서버의 심각도가 높은 취약점을 SSTI 및 인증 우회를 통해 악용합니다. 이 익스플로잇을 LFI로 승격시킵니다! 이 PoC 익스플로잇은 CrushFTP를 호스팅하는 sFTP 서버 내 취약점 탐지 및 익스플로잇을 자동화하는 목적을 제공합니다.

코드 단계별 설명:

익명 세션 토큰 생성
이 토큰을 사용하여 SSTI를 수행하고 자체 진입점을 생성!
SSTI 엔드포인트를 호출하고 컨텍스트를 벗어나 대상 머신의 모든 로컬 리소스를 요청!

구글 도킹을 조금 해본 결과, 현재 7,000개 이상의 공개적으로 접근 가능한 CrushFTP 포털이 운영 중인 것을 발견했습니다! 😬 이 CVE는 단 6일 전에 공개되었습니다. 더 이상 말할 필요가 있을까요...

사용법

python3 crushed.py -t https://target.com

자체 LFI 경로를 지정하려면 -l 또는 --lfi 인수를 사용하세요:

python3 crushed.py -t https://target.com -l /etc/passwd

자체 워드리스트를 제공하여 LFI를 수행하려면 -w 또는 --wordlist를 사용하세요. -l 옵션과 함께 작동합니다.

python3 crushed.py -t https://target.com -w /lfiwordlist.txt

예제

인증된 세션으로부터 쿠키 탈취 - LFI 이후

취약한 서버의 sessions.obj 파일을 획득한 후, 다른 사용자의 세션 토큰을 추출할 수 있습니다. 이로 인해 이 취약점의 심각도는 계정 또는 서버 장악 위험으로 더욱 높아집니다.

추출된 토큰 검증 자동화

sessions.obj 파일에서 토큰을 획득하면, 스크립트는 대상에 대해 토큰 조합을 테스트합니다. 대상 엔드포인트는 /WebInterface/function?command=getUsername&c2f={current_auth_token}이며, 요청 헤더에 두 토큰을 전달합니다.