Havoc-PWN (Authenticated)

Эта SSRF-RCE цепочка была вдохновлена SSRF POC от chebuya для CVE-2024-41570 и Havoc Auth RCE от IncludeSecurity — оба эксплойта потрясающие и отлично проработаны, пожалуйста, оцените труд этих авторов!

• chebuya
• hyperreality

Как это работает?

Уязвимость SSRF работает за счёт подделки регистрации агента demon и его check-in'ов, что позволяет открыть TCP-сокет на teamserver'е и читать/записывать данные через него. Уязвимость RCE работает за счёт эксплуатации недостатка в создании Payload'ов Havoc путём внедрения кода в Service-Name — нефильтруемую строку, что позволяет аутентифицированному пользователю выполнять системные команды на teamserver'е.

Поскольку websocket-порт teamserver'а недоступен извне, мы можем создать функции, которые формируют WebSocket-фреймы и отправлять их на закрытый/фильтруемый порт teamserver'а через SSRF.

Учтите следующее. . .

• Если порт teamserver'а закрыт/фильтруется, teamserver должен быть размещён на небезопасном web-socket сервере (ws://), чтобы этот POC работал. Я не эксперт в сетях или протоколе TLS, но если есть возможность успешно отправлять данные на защищённый web-socket сервер wss:// через SSRF, этот эксплойт потенциально может иметь широкое влияние.
• Если порт teamserver'а открыт и доступен публично, вам не нужно использовать SSRF — если у вас есть рабочие учётные данные, используйте часть эксплойта Auth-RCE.