ATutor-Instructor-Backup-Exploit

• 漏洞名称: ATutor 2.2.4 '备份' 远程命令执行 (CVE-2019-12170)
• Google Dork: inurl:/ATutor/login.php
• 日期: 2019年5月13日
• 漏洞作者: liquidsky (Joseph McPeters)
• 厂商主页: https://atutor.github.io/
• 软件链接: https://sourceforge.net/projects/atutor/files/latest/download
• 版本: < 2.2.4 (版本2.2.4及更早版本似乎受影响)
• 测试环境: Windows 7 with XAMPP / Linux 3.16.0-4-amd64 with version 2.2.4 and 2.2.1
• 作者站点: http://incidentsecurity.com/atutor-2-2-4-backup-remote-command-execution/
• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12170

ATutor 2.2.4 通过备份功能存在任意文件上传漏洞，可能导致远程命令执行。

首先使用讲师账户登录并选择一个课程：

• #1 http://[atutor address]/atutor/bounce.php?course=1

然后导航到 "管理"

• #2 http://[atutor address]/atutor/tools/index.php

接着选择 备份/上传

• #3 http://[atutor address]/atutor/mods/_core/backups/upload.php

从这里可以上传一个特制的备份 zip 文件，例如 "pwned_backup.zip"，将导致远程命令执行。

PoC 任意文件可在以下位置找到： http://[atutor address]/atutor/content/1/pwned/poc.PhP

或

C:\xampp\htdocs\ATutor\content\1\pwned\poc.PhP

注意：地址中的 "1" 会根据课程编号变化，"content" 目录也可能不同。 然而默认安装要求目录名称为 "content"。此漏洞已在 Linux/Windows 安装上测试过。

• PoC zip 文件 (pwned_backup.zip) 副本可从此处下载：https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File

包含截图，展示成功复现漏洞的确切步骤。

更新：此问题没有修复方案，ATutor 已不再维护。[2019年5月22日]

• 如果 content 目录不在 webroot 中，也可能实现目录遍历。

有关目录遍历的 PoC 更多信息，请查看：https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit/

    CVE-2019-12170: https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File
    CVE-2019-12169: https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit