Instale os requisitos no ArchLinux:

Como funciona

1. Enviar um e-mail ao administrador contendo um payload XSS
2. O payload XSS carrega remotamente o JavaScript CSRF
3. O CSRF instala um plugin
4. Quando instalado, o plugin executa um comando de sistema: o reverse shell

Arquivos do exploit:

• config.yml contém a configuração do toolchain
• exploit.sh é o wrapper do exploit que precisa ser executado
• xss_mail.rb enviará o e-mail contendo o XSS ao administrador via servidor SMTP do Atmail (sem autenticação).
• csrf_prepare.rb preparará o payload CSRF (definindo o alvo e codificando o arquivo do plugin)
• rce_prepare.rb preparará o RCE (gerando o reverse shell e criando o arquivo do plugin)
• csrf_plugin.js é o payload CSRF preparado
• a pasta noraj/ contém a arquitetura do plugin descompactado

Uso

O toolchain de exploit requer apenas 2 etapas manuais:

1. Edite o config.yml
2. Execute o exploit.sh

Mas antes de lançar o ataque, um servidor web precisa entregar o arquivo JavaScript CSRF e um listener de reverse shell precisa estar aguardando a conexão. Então o ataque ficará mais ou menos assim:

1. Edite o config.yml
2. Inicie um servidor HTTP que entregará o csrf_plugin.js
3. Inicie o listener de reverse shell
4. Execute o exploit.sh

Exemplo de servidor HTTP em uma linha:

Exemplo de listener de reverse shell:

Notas

• O RCE ocorre apenas quando o plugin é instalado; se a conexão do reverse shell for perdida, reexecutar significa reinstalar o plugin. Então o administrador só precisa recarregar a caixa de entrada.
• Red teamers podem aprimorar o exploit para remover automaticamente o e-mail depois de lido e remover o plugin assim que a conexão do reverse shell for estabelecida: menos persistente, porém mais furtivo.
• O msfvenom (MSF 5.0) suporta apenas um endereço IP para LHOST, não um domínio.
• Como dito em Requisitos, o administrador precisa estar conectado tanto no Webmail quanto na interface de administração.
• Testado com ruby 2.7.