AtMail Email Server Appliance 6.4 - 漏洞利用工具链（XSS > CSRF > RCE）

[PacketStorm] [WLB-2020080010]

免责声明：此漏洞利用工具链的灵感来自 EDB-ID 20009。

目标

此漏洞利用工具链的目标是替代 EDB-ID 20009。

该工具链相对于 EDB-ID 20009 漏洞利用的优势：

• 简单易用
• 可重复使用
• 动态生成 Payload
• 易于编辑/修改
• 代码清晰且提供插件

EDB-ID 20009 漏洞利用的缺点：

• 不可定制（静态硬编码的 Payload）
• 使用复杂（需要替换许多硬编码的值并调整代码以适应目标环境）
• 一次性使用（所有值均为硬编码）
• 插件归档 tgz 以字符串（十六进制字符）形式嵌入，因此插件源代码不易阅读或修改

要求

• （可选）Metasploit Framework（使用 msfvenom 生成反向 Shell）
• tar（用于生成插件归档）
• ruby（用于准备 Payload 和通过 SMTP 发送 XSS）
• （可选）用于分发 XSS Payload 的 Web 服务器
• 知道 Atmail 管理员邮箱地址（只有管理员才能安装插件）
• 被动交互（管理员需要在 WebMail 中触发包含 XSS Payload 的邮件，并保持一个有效的管理界面会话）

在 ArchLinux 上安装依赖：

$ sudo pacman -S metasploit tar ruby

工作原理

1. 向管理员发送一封包含 XSS Payload 的邮件
2. XSS Payload 远程加载 JavaScript CSRF
3. CSRF 安装一个插件
4. 插件安装后执行一条系统命令：反向 Shell

漏洞利用文件：

• config.yml 包含工具链配置
• exploit.sh 需要执行的漏洞利用包装脚本
• xss_mail.rb 将通过 Atmail SMTP 服务器（未认证）向管理员发送包含 XSS 的邮件。
• csrf_prepare.rb 将准备 CSRF Payload（设置目标并编码插件归档）
• rce_prepare.rb 将准备 RCE（生成反向 Shell 并创建插件归档）
• csrf_plugin.js 准备好的 CSRF Payload
• noraj/ 文件夹，包含未压缩的插件架构

使用方法

该漏洞利用工具链只需 2 个手动步骤：

1. 编辑 config.yml
2. 运行 exploit.sh

但在发起攻击之前，需要一个 Web 服务器来分发 JavaScript CSRF 文件，并且需要有一个反向 Shell 监听器等待连接。因此攻击流程更像是：

1. 编辑 config.yml
2. 启动一个 HTTP 服务器来分发 csrf_plugin.js
3. 启动反向 Shell 监听器
4. 运行 exploit.sh

单行 HTTP 服务器示例：

$ ruby -run -e httpd . -p 8000

反向 Shell 监听器示例：

msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload php/reverse_php
payload => php/reverse_php
msf5 exploit(multi/handler) > set LHOST 1.1.1.1
LHOST => 1.1.1.1
msf5 exploit(multi/handler) > set LPORT 8080
LPORT => 8080
msf5 exploit(multi/handler) > run

注意事项

• 只有在插件安装后才会触发 RCE；如果反向 Shell 连接丢失，重新执行意味着重新安装插件。因此管理员只需重新加载他的邮箱。
• 红队成员可以增强该漏洞利用，使其在邮件被阅读后自动删除邮件，并在反向 Shell 连接建立后移除插件：持久性更低，但更隐蔽。
• msfvenom（MSF 5.0）的 LHOST 仅支持 IP 地址，不支持域名。
• 正如 要求 中所说，管理员需要同时登录 Webmail 和管理界面。
• 已在 Ruby 2.7 上测试。