CVE-2007-4559 - Polemarch 漏洞利用程序

针对 Polemarch 服务器 https://www.polemarch.org/ 的完整可用漏洞利用程序，利用 CVE-2007-4559，可实现：

• 注入使用 TOR 以更好地隐藏的 Monero 加密货币矿工。
• 注入针对最常见系统管理工具的 rootkit。

POC

概念验证，使用 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4559 并基于 https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html 的研究成果。

攻击目标目录

我们希望能够将以下文件部署到 Polemarch 服务器：

• /usr/local/lib
  • -> rootkit.so：用于执行预加载的库
• /etc
  • -> ld.so.preload：加载器配置文件
• /opt/polemarch/bin
  • -> polemarchctl：被感染的 docker 入口点
• /usr/bin
  • -> xmring：矿工
  • -> tor：tor
  • -> shellcode：负责启动矿工和 tor 的混淆 shellcode

注意：在实际漏洞利用中，我们会更改一些名称以避免检测。

注意事项

• 二进制文件必须具有可执行权限
• Tar 包不能重复部署
• 恶意软件将被放置在一个辅助文件夹中，该文件夹将通过符号链接指向目标文件夹

操作说明

为了部署恶意软件，我们需要完成以下设置：

• 编译所需的二进制文件
• 搭建 Polemarch 服务器以及托管被感染 tar 包的恶意服务器
• 将受感染的 tar 包上传到 Polemarch 服务器

编译二进制文件

我们需要编译 rootkit 共享库和 shellcode：

$(rootkit): make
$(shellcode): gcc -z execstack -m32 -o shellcode shell.c

Polemarch 服务器与恶意服务器

我们创建了一个 docker-compose，它将：

• 在 http://localhost:8080 搭建一个存在漏洞的 Polemarch 服务器
• 生成包含所有必要文件的被感染 tar 包
• 在 http://energyplus.com/project.tar.gz 搭建一个托管恶意 tar 包的辅助 python 服务器（仅可从 docker 访问）

$: docker compose build 
$: docker compose up -d

上传被感染的 tar 包

使用默认密码（admin/admin）登录 polemarch 服务器，并使用被篡改的 tar 文件创建一个项目：

现在，下次 docker 被 restarted 时，矿工和 tor 将在 polemarch 服务器中执行。

免责声明

本项目仅供研究使用，不得用于任何非法或恶意活动。本项目的创建者不对因滥用此软件而造成的任何伤害或损害负责。