Skip to content
KitploitKITPLOIT
ИнструментыЭксплойтыБлог
Log in
Отправить
ИнструментыЭксплойтыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

ЛентыКонтактыКонфиденциальность© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
pfsense-wizard-uid0 — pfSense CE 2.9.0-DEVELOPMENT — High — Remote — Остаточные привилегии — wizard uid 0 | Kitploit
Инструменты/GitHubGitHub/abraxas/pfsense-wizard-uid0
Повышение привилегийАнализ уязвимостейЭксплуатацияЭксплуатация веб-приложенийВеб-безопасностьТестирование на ПроникновениеЛаборатории и Практика
GitHubabraxas/pfsense-wizard-uid0

pfsense-wizard-uid0

pfSense CE 2.9.0-DEVELOPMENT — High — Remote — Остаточные привилегии — wizard uid 0

Репозиторий
14 дней назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

Abraxas Labs - pfsense-wizard-uid0

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  pfsense-wizard-uid0

pfsense-wizard-uid0

Класс: Остаточные привилегии Достижимость: Удалённая

pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org

wizard.php?xml=setup_wizard.xml шаг 7 getUserEntryByUID(0) плюс local_user_set_password(). Привилегия MATCH wizard.php* не имеет warn-root. xml= имеет префикс realpath в /usr/local/www/wizards.

IDCVE пока нет
КлассОстаточные привилегии
ДостижимостьУдалённая (аутентифицированный WebGUI, если не указано иное)
CWECWE-269
CVSSВысокий: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
ПродуктpfSense CE
Затронуто2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9)
АутентификацияСессия WebGUI с page-pfsensewizardsubsystem
ЛицензияGNU Affero GPL v3.0
Лабораториятолько 127.0.0.1

Я зафиксировал публичный master 9363ac5. Лаборатория — это PHP-гаджет зафиксированного sink, loopback HTTP на 127.0.0.1:19020.

Статья серии: https://abraxaslabs.tech/research/pfsense-ce-leftovers

Что может сделать атакующий

МетодSinkПривилегия
POST wizard.php?xml=setup_wizard.xml шаг 7getUserEntryByUID(0) local_user_set_passwordЦелостность: Доказано в лаборатории: шаг 7 перезаписал bcrypt-хеш uid 0. LFI через xml= закрыт (../etc/passwd и абсолютный путь отклонены).
тот же остатоктот же sinkРазведка: Предположительно: тот же мастер перезаписывает WAN/LAN/DHCP/hostname.
тот же остатоктот же sinkДоступность: Предположительно: заблокировать оператора от LAN.

Требуется: page-pfsensewizardsubsystem. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Требуется: page-pfsensewizardsubsystem. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root. CSRF-magic при POST, если не указано иное. WebGUI PHP-FPM работает от root.

Смежная поверхность, которая остаётся закрытой

LFI через префикс realpath в xml=. page-system-usermanager имеет warn-root для того же класса.

Нет Diagnostics: Command, если эта страница также не предоставлена.

Лаборатория

cd lab
./run.sh

Loopback 127.0.0.1:19020. Compose-проект pfsense-wizard-uid0. Свидетель PFSENSE-WIZARD-UID0-WITNESS. Только loopback: 127.0.0.1:19020. Compose-проект pfsense-wizard-uid0. Свидетель PFSENSE-WIZARD-UID0-WITNESS. PHP-гаджет зафиксированных строк. Стек разбирается после запуска.

Последняя строка:

SUCCESS PFSENSE-WIZARD-UID0 lfi-closed=yes control-no-hash-change=yes trigger-uid0-hash-change=yes wizard-no-warn-root=yes usermanager-warn-root=yes PFSENSE-WIZARD-UID0-WITNESS

Исправление

Пометить wizard.php как standard-warning-root или убрать пароль uid 0 из мастера настройки после первой загрузки.

Ссылки

  • github.com/pfsense/pfsense 9363ac5b8651a1c7a333180425ce7719070f95f9
  • CWE-269
  • Серия: https://abraxaslabs.tech/research/pfsense-ce-leftovers
Скачать инструмент