Оригинальный Python-PoC с Exploit-DB выполняет проверочный запрос, используя:

Затем он объявляет цель уязвимой, только если HTTP-ответ содержит:

Такая проверка ненадёжна. Команда может выполниться, но её вывод будет поглощён shell-командой, формируемой CGI, а не отражён в HTML-ответе, возвращаемом клиенту. В результате сервер может вернуть обычную страницу с HTTP 200 без включения вывода id, что даёт ложноотрицательный результат.

Эта реализация следует логике проверки, используемой модулем Metasploit:

1. Запросить /cgi-bin/pakfire.cgi с HTTP Basic Authentication.
2. Извлечь версию IPFire и Core Update из ответа.
3. Считать IPFire <= 2.19 и Core Update <= 110 предположительно уязвимыми.
4. Отправить командную нагрузку в /cgi-bin/ids.cgi в поле OINKCODE.
5. Считать ответ, отличный от 200, отклонённым запросом или проблемой аутентификации.
6. Не проверять HTML-тело на наличие uid=99(nobody).

PoC также использует Perl-нагрузку командной оболочки, соответствующую семейству командных нагрузок, поддерживаемых модулем Metasploit. Успешный HTTP-ответ сам по себе не доказывает, что reverse shell подключился; необходимо также проверить listener и сетевой путь.

Различия между исходными эксплойтами

Важный критерий успеха модуля Metasploit заключается в том, что неожиданный код ответа указывает на недействительные учётные данные или отклонённый запрос. Он не требует, чтобы тело ответа содержало вывод внедрённой команды.

Требования

• Python 3
• requests
• Действительные учётные данные IPFire с доступом к веб-интерфейсу
• Интерпретатор Perl на целевой системе, обычно доступный как perl
• Listener, доступный с узла IPFire

Установите Python-зависимость:

Использование

1. Только проверка версии цели

Пароль запрашивается в интерактивном режиме, если --password не указан. Это рекомендуется, поскольку передача пароля напрямую в команде может раскрыть его через историю shell или список процессов.

2. Запустите listener

Используйте listener на адресе и порту, указанных через --lhost и --lport:

Если rlwrap не установлен, используйте:

3. Отправьте Perl-нагрузку reverse shell

Для обычного самозаверяющего HTTPS-сертификата IPFire требуется --insecure/-k. Используйте его только в тех случаях, когда проверка сертификата в лаборатории заведомо невозможна.

Полный URL вместо узла и порта

Цель также можно указать в виде полного базового URL:

Пропуск определения версии

Используйте это, только если версия IPFire уже была подтверждена независимо:

Указание другого пути к Perl

Если Perl отсутствует в PATH по умолчанию на целевой системе, укажите его абсолютный путь:

Параметры командной строки

Интерпретация вывода

HTTP 200 от ids.cgi

Это означает, что HTTP-запрос был принят CGI в соответствии с тем же практическим критерием, который использует модуль Metasploit. Обычный HTML-ответ ожидаем и не является доказательством того, что проверка уязвимости не удалась.

Проверьте listener на наличие оболочки. Если оболочка не появилась, проверьте адрес обратного вызова, маршрутизацию, правила исходящего трафика межсетевого экрана, доступность Perl и выбранный порт.

HTTP 401 или HTTP 403

Запрос не был авторизован. Проверьте имя пользователя, пароль, целевой URL, порт и наличие у учётной записи доступа к веб-интерфейсу IPFire.

HTTP 404

Вероятно, неверен целевой URL или путь CGI, либо сервис не является ожидаемым веб-интерфейсом IPFire.

Версия не распознана

Скрипт не смог найти ожидаемую строку версии в pakfire.cgi. Подтвердите цель вручную перед использованием --skip-version-check.

Таймаут запроса после доставки нагрузки

Внедрённая команда может удерживать CGI-запрос открытым во время попытки обратного вызова. Считайте это указанием проверить listener, а не окончательным доказательством наличия оболочки.

Технический поток запроса

Скрипт использует HTTP Basic Authentication и отправляет в ids.cgi следующие поля формы:

Команда заключена в обратные кавычки, поскольку уязвимое приложение передаёт значение OINKCODE в shell-команду. Точное поведение запроса зависит от версии цели и её локальной конфигурации.

Ограничения

• Это доказательство концепции, а не полный фреймворк для эксплуатации.
• Проверка версии основана на поведении указанного модуля Metasploit; она не гарантирует, что каждая цель с соответствующим баннером эксплуатируема.
• Ответ 200 подтверждает, что запрос принят, а не то, что reverse shell достиг listener.
• Perl-нагрузка требует работающего интерпретатора Perl и сетевой связности от IPFire до listener.
• Скрипт не пытается обойти аутентификацию или использовать CSRF; ожидаются действительные учётные данные.

Ссылки

• NVD: CVE-2017-9757
• Exploit-DB 42149: удалённое выполнение кода в IPFire 2.19
• Exploit-DB 42369: удалённое выполнение кода в IPFire < 2.19 Update Core 110
• Модуль Metasploit: ipfire_oinkcode_exec.rb
• Perl-нагрузка команд Metasploit
• CWE-78: внедрение OS-команд

Атрибуция

Этот проект представляет собой образовательную Python-реализацию, основанную на публичном исследовании и PoC от 0x09AL, а также на модуле Metasploit, поддерживаемом сообществом Metasploit. Он не связан с IPFire, Exploit-DB или Rapid7 и не одобрен ими.