Установка требований в ArchLinux:

Как это работает

1. Отправка администратору email, содержащего XSS-пэйлоад
2. XSS-пэйлоад удалённо загружает JavaScript CSRF
3. CSRF устанавливает плагин
4. После установки плагин выполняет системную команду: реверс-шелл

Файлы эксплойта:

• config.yml содержит конфигурацию набора
• exploit.sh — обёртка эксплойта, которую нужно запустить
• xss_mail.rb отправит email с XSS администратору через SMTP-сервер Atmail (без аутентификации)
• csrf_prepare.rb подготовит CSRF-пэйлоад (укажет цель и закодирует архив плагина)
• rce_prepare.rb подготовит RCE (сгенерирует реверс-шелл и создаст архив плагина)
• csrf_plugin.js — подготовленный CSRF-пэйлоад
• папка noraj/, содержащая несжатую структуру плагина

Использование

Набор эксплойтов требует всего 2 ручных шага:

1. Отредактируйте config.yml
2. Запустите exploit.sh

Но перед запуском атаки веб-сервер должен доставлять JavaScript CSRF-файл, а слушатель реверс-шелла должен ожидать подключения. Таким образом, атака будет больше похожа на:

1. Отредактируйте config.yml
2. Запустите HTTP-сервер, который будет отдавать csrf_plugin.js
3. Запустите слушатель реверс-шелла
4. Запустите exploit.sh

Пример однострочного HTTP-сервера:

Пример слушателя реверс-шелла:

Примечания

• RCE происходит только при установке плагина; если соединение реверс-шелла потеряно, повторное выполнение означает переустановку плагина. Так что администратору нужно лишь перезагрузить свой почтовый ящик.
• Red team-специалисты могут улучшить эксплойт, чтобы автоматически удалять email после прочтения и удалять плагин после установления соединения реверс-шелла: менее устойчиво, но более скрытно.
• msfvenom (MSF 5.0) поддерживает для LHOST только IP-адрес, а не домен.
• Как сказано в Требованиях, администратор должен быть авторизован и в Webmail, и в интерфейсе администрирования.
• Протестировано с ruby 2.7.