Fortigate-SSL-VPN-Exploit-Kit

The FortiGate SSL-VPN pot of gold. CVE-2024-21762 и CVE-2023-27997. 79 рабочих эксплойт-клиентов. 53 аппаратных SKU. 55 сборок FortiOS.

Золото — это матрица смещений, а не новая уязвимость. Этот аргумент изложен в Фазе 0 серии. Фаза 1 рассматривает два примитива как поведение. Фаза 2 — это поисковая карта SKU / train / CPU. Фаза 3 — охота.

Этот репозиторий — остальная часть того же набора, а не второе семейство эксплойтов.

• Программы из exp/ — это клиенты для каждого образа, уже описанные в серии.
• Файлы родительского каталога и shellcode/ — это загрузчик, получение импланта и слушатели кражи конфигурации, для вызова которых были написаны эти клиенты.
• Файлы exp_*.py никогда не содержали имплант. Они знали только, как (1) получить сырые байты с «сервера шеллкода» или (2) выполнить GET /s.js и eval. Эти недостающие части находятся здесь.

Примитивы:

Оба находятся в каталоге известных эксплуатируемых уязвимостей CISA. poc.py не реализует ни одну из этих CVE. Он выбирает и оборачивает два уже классифицированных семейства (chunked-write 21762; enc= heap overflow 27997).

Структура

exp/index.html и shellcode/index.html — обычные листинги каталогов Python http.server. Они лишь показывают, что это дерево в какой-то момент размещалось как веб-корень.

Эта копия exp/ — более ранний каталог плюс четыре дополнительных клиента: exp_30E-v6.2.4.py, exp_30E-v6.2.12.py, exp_30E-v6.2.14.py, exp_40F-v7.0.5.py.

Как части соединяются

Конвейер одной строкой: идентификация → выбор файла смещений → повреждение sslvpnd → получение импланта → эксфильтрация /data/config/*.gz → архивирование на стороне оператора.

Последний шаг — суть. Попадание — это неаутентифицированное выполнение кода в sslvpnd на самом межсетевом экране — терминаторе TLS, политике маршрутизации, VPN-сессиях, часто привязках LDAP/RADIUS. FortiOS не предоставляет полезного /bin/sh. Публичные исследования и этот набор оба идут через внутренний помощник команд и/или /bin/node, который FortiOS действительно поставляет. Считайте подтверждённое попадание компрометацией сетевого периметра, а не падением демона. См. Что означает попадание.

Файл за файлом

poc.py — загрузчик

Операторский интерфейс (pocsuite3 POCBase). Он не реализует CVE-2024-21762 или CVE-2023-27997.

1. Выполняет https://<target>/remote/login?lang=en (запасной вариант GB2312).
2. Извлекает хэш для обхода кэша из /sslvpn/js/login.js?q=<md5>.
3. Ищет этот хэш во встроенной таблице VERSION_LIBS (182 строки hash,SKU,version). Именно эта таблица позволяет набору выбирать среди 50+ устройств без указания SKU оператором. Те же SKU, что и в матрице, на основе публичного хэша ресурса SSL-VPN, а не SNMP или управляющего API.
4. Разрешает exp/exp_<SKU>-v<version>.py.
5. Классифицирует клиента, читая его исходный код:
   • содержит s.js → тип 2 (загрузчик Node)
   • в использовании упоминается Shellcode Server → тип 1 (stager); затем ищет arm или amd64 в скрипте
6. Запускает соответствующие помощники и Popen для exp_*.py с аргументами host/port/callback.

Адрес оператора по умолчанию в этой копии: HOST_IP из окружения, иначе ATTACKER_HOST. Литеральные IPv4-адреса в этом дереве заменены ролевыми метками (порты не изменены):

Если хэш портала отсутствует в VERSION_LIBS, он останавливается с сообщением «unknown target hash». Если хэш совпадает, но файл exp/ отсутствует — «no exp».

s.js — недостающая вторая стадия на Node

Это файл, который клиенты Family B / Node Family A получают после execute_cmd. Это не обычный обратный шелл.

• Захардкоженный обратный вызов C2_HOST:9999 (хост C2, не TARGET_HOST и не lhost / ATTACKER_HOST, передаваемые в эксплойт — эта копия была запечена под один операторский обратный вызов).
• Читает /data/config/ на межсетевом экране.
• Берёт файлы *.gz, не являющиеся симлинками (сжатые объекты конфигурации FortiOS).
• Распаковывает их и отправляет каждый по небольшому TCP-протоколу с префиксом длины, затем маркер конца.

Это кража конфигурации. Это объясняет, почему poc.py также слушает на 9999 и собирает файлы в результат base64. Ищите C2_HOST на порту 9999 из любого исходящего трафика FortiGate. Заметки по охоте: Фаза 3.

send_cmd.py — обработчик обратного вызова для пути stager

Используется, когда выбранный exp_*.py относится к типу шеллкода ARM/amd64 (в использовании упоминается сервер шеллкода).

• Слушает на 7777.
• При подключении записывает одну команду: cd /data/config и cat каждого *.gz в nc <LHOST> 9999.
• Та же цель, что и у s.js (кража конфигурации), другой транспорт (обратный вызов шелла вместо Node).

Закомментированный вариант использовал фрейминг base64 вместо сырого cat.

shellcode/shellcode_server.py — передача байтов для stager'ов Family A

Соответствует протоколу, уже видимому в заглушках ARM32 exp_*.py:

1. Привязка к выбранному оператором порту (poc.py использует 8888).
2. Принятие одного соединения.
3. Отправка 4-байтовой длины в little-endian.
4. Отправка блоба shellcode_<arch> из того же каталога.

Stager'ы exp_*.py подключаются сюда, отображают память с правами записи и исполнения, получают блоб, затем подключаются обратно к lhost:lport (7777 → send_cmd.py).

shellcode/shellcode_arm и shellcode/shellcode_amd64

Сырые блобы второй стадии (~2.0 МБ ARM, ~2.7 МБ amd64). Это то, что загружает stager. Это не крошечная заглушка Thumb внутри Python-файлов; эти заглушки только получают эти файлы. Считайте их имплантом для пути, не использующего Node. Размер указывает на упакованные или статические полезные нагрузки, а не на несколько десятков инструкций.

init.sh — настройка рабочей станции оператора

Не используется против межсетевого экрана. Устанавливает build-essential, binutils-arm-linux-gnueabihf и gcc-aarch64-linux-gnu. Это для сборки компонентов ARM/AArch64 на атакующей машине на базе Debian. Соответствует автору, который компилирует stager'ы, а не только поставляет Python.

requirements.txt

Одна строка: pwntools. Файлы exp_*.py и shellcode_server.py импортируют его. poc.py также требует pocsuite3, python-dotenv, mmh3 и requests.

Связь с клиентами exp/

Ничто в родительском каталоге не реализует третью CVE. Статистика, тепловая карта SKU и выравнивание train (Family A до 7.4.0 / 7.4.1; Family B в окне 27997) находятся в Фазе 0 и Фазе 2. Наиболее интенсивная перенастройка в исходном каталоге: FortiGate-60E, 100E, 60F, 100F — оборудование филиалов.

Что это меняет

Первая выгрузка останавливалась на «получить обратный вызов». Тела второй стадии отсутствовали. Это дерево делает цель явной:

1. Кража конфигурации FortiOS из /data/config/*.gz, а не «общий RCE». Это компрометация учётных данных и топологии (пользователи VPN, маршруты, секреты, хранящиеся в этих объектах).
2. Набор IOC конкретен (см. ниже).
3. VERSION_LIBS в poc.py — готовый список «какую SKU они считали этим хэшем».
4. Набор — это полный конвейер кражи конфигурации, а не мешок несвязанных PoC.

Индикаторы (эта копия)

Разведка портала и URI первой стадии задокументированы в Hunting the kit. Отличительные, уже упомянутые в публичных отчётах и в этом дереве:

• Разведка портала: GET /remote/login и /sslvpn/js/login.js?q=
• URI первой стадии: /aaaa/bbbb, /remote/error, /remote/info, /remote/hostcheck_validate с enc=
• Исходящий HTTP GET /s.js с межсетевого экрана
• Исходящий TCP с межсетевого экрана на 7777 / 8888 / 9999
• Запечённый C2 C2_HOST:9999 внутри этой копии s.js (хост C2)
• Операторские слушатели на ATTACKER_HOST портах 7777 / 8888 / 9999 (хост атакующего)
• Цель никогда не захардкожена: TARGET_HOST — это rhost, указанный во время выполнения

Ищите исходящий трафик с межсетевого экрана (TARGET_HOST) на C2_HOST:9999 и на любой ATTACKER_HOST, который раздавал /s.js в соответствующем окне.

Чего этот набор не доказывает

Из введения:

• Новый 0-day. Примитивы — это n-day с публичными отчётами.
• FortiProxy, FortiManager, FortiAnalyzer, FortiWeb. Здесь нет образцов.
• SKU, отсутствующие в восстановленной матрице (многие устройства 70F / 90G / 120G, образы только для VM, шасси 6K / 7K). Нет скомпилированных смещений.
• Сборки после опубликованных срезов Fortinet. Сверяйтесь с актуальной консультацией (FG-IR-24-015, FG-IR-23-097), а не с этой папкой.
• Персистентность. Она жила бы в последующем этапе, который всё ещё не реализован как отдельная третья стадия в этих скриптах.

Публичный PoC против VM — это другой артефакт. Этот пакет — для того, кто ответил на разведку.

Серия

1. Фаза 0 · Введение — находка, статистика, ставки.
2. Фаза 1 · Две публичные двери — Family A и Family B как поведение, а не рецепт.
3. Фаза 2 · Матрица — 53 SKU, train, CPU. С возможностью поиска.
4. Фаза 3 · Охота за набором — отличительные URI, срезы патчей, что делать, если портал был доступен.

Если вы эксплуатируете FortiGate: инвентаризируйте модель, точную FortiOS, включён ли SSL-VPN, был ли портал доступен из недоверенных сетей. Затем прочитайте Фазу 2. Не инвентаризируйте только филиальные коробки серии 60, потому что эти имена файлов были самыми громкими.

Уведомление

Эти файлы были восстановлены в дикой природе в ходе независимого исследования безопасности. Я не создавал их. Они опубликованы в том виде, в каком были найдены, после того как соответствующие CVE были публично раскрыты и исправлены.

Только для исследовательских / образовательных целей. Не запускайте, не разворачивайте и не используйте этот материал против любого хоста без явного письменного разрешения как от стороны, разместившей этот репозиторий, так и от владельца целевых систем.

— @abraxas_null · abraxaslabs.tech · github.com/abraxas