iTop-CVEs-exploit

Этот репозиторий содержит эксплойты для iTOP CVE-2024-52002, 52000, 31998, 31448, которые используют связку CSRF+XSS для получения привилегий администратора в программном обеспечении.

Установка

1. Скачайте уязвимую версию iTOP из docker

sudo docker run -d -p 8090:80 --name=my-itop2 vbkunin/itop:3.1.1 

2. Перейдите на localhost:8090 и выполните стандартную установку
3. Используйте команду ниже, чтобы получить пароль

sudo docker logs my-itop2 | grep -A7 -B1 "Your MySQL user 'admin' has password"

Это должно выглядеть примерно так

4. Теперь продолжите со стандартными шагами установки
5. На этом этап установки завершается, и теперь вы можете войти в iTOP

Эксплуатация

Не стесняйтесь исследовать программное обеспечение iTOP.

Для злоумышленника самым ценным было бы получить удалённый доступ к программному обеспечению через вход администратора, расположенный по адресу http://localhost:8090/pages/UI.php?c%5Bmenu%5D=UserAccountsMenu

XSS

Давайте начнём с тестирования XSS-эксплойта; для этого можно использовать xss.csv из этого репозитория GitHub.

1. Перейдите на http://localhost:8090/pages/csvimport.php?c%5Bmenu%5D=CSVImport
2. Нажмите на Select a File и загрузите xss.csv
3. Продолжайте со стандартными параметрами до шага 3
4. На шаге 3 выберите Person в качестве типа импорта
5. Нажав на Simulate the import, мы можем увидеть XSS
6. Это подтверждает наличие XSS.
7. Само по себе это не имеет большой ценности; мы вернёмся к этому позже.

CSRF

Давайте исследуем CSRF, поскольку на страницах CVE сказано, что CSRF присутствует на нескольких страницах. По отдельности CSRF и XSS дают нам немного, но вместе мы можем сделать что-то, чтобы в итоге создать учётную запись администратора.

1. Проведём простой тест: изучим все параметры в burpsuite, создадим простой тестовый HTML-файл и разместим его на python-сервере. (first_step_import_data.html) python3 -m http.server 9001
2. Этот файл использует описанные выше CSRF и XSS, чтобы показать нам CSRF-токен, необходимый для завершения задачи импорта.
3. Мы выяснили, что этот токен не привязан к какому-либо действию, поэтому, получив этот токен, мы можем заставить пользователя выполнить другую операцию, получив токен с XSS-уязвимой страницы.
4. Когда вы разместите указанный выше HTML-файл и перейдёте по нему, будучи авторизованным пользователем, вы увидите, что токен будет показан в браузере.
5. Теперь мы изменим этот эксплойт, чтобы он вызывал наш сервер с токеном, который затем будет связан с другой частью эксплойта, где он будет использоваться для создания пользователя. first_step_add_user.html и last_step_add_user.html

Мы видим, что когда пользователь нажимает на ссылку first_step_add_user.html, сначала используется CSRF+XSS для получения токена действия, а затем этот токен используется для создания пользователя с помощью связывания. По сути, это превращается в CSRF+XSS+CSRF

Уязвимую ссылку можно отправить пользователю с помощью образца фишингового письма, добавленного в репозиторий GitHub.

Ссылки

• https://nvd.nist.gov/vuln/detail/cve-2024-52002
• https://nvd.nist.gov/vuln/detail/cve-2024-52000
• https://nvd.nist.gov/vuln/detail/CVE-2024-31998
• https://nvd.nist.gov/vuln/detail/CVE-2024-31448
• https://owasp.org/www-community/HttpOnly
• https://bugbase.ai/blog/how-to-bypass-csrf-protection
• https://medium.com/sessionstack-blog/how-javascript-works-5-types-of-xss-attacks-tips-on-preventing-them-e6e28327748a
• https://www.sitepoint.com/get-url-parameters-with-javascript/
• https://portswigger.net/web-security/csrf#how-to-construct-a-csrf-attack
• https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS