🛠️ CVE-2023-4226 利用工具 for Chamilo LMS

📋 描述

Python 脚本，用于自动化利用 Chamilo LMS（<= v1.11.24）中的 CVE-2023-4226 无限制文件上传漏洞。上传基于 PentesterMonkey 的 PHP Web Shell 并配置 .htaccess，以实现 反弹 Shell。更多详情请参阅：STAR Labs 公告。

🔍 漏洞

• 产品：Chamilo LMS
• 严重性：高（CVSS 3.1: 8.8）
• 受影响版本：<= v1.11.24
• 描述：具有学习者角色的用户可通过 /main/inc/ajax/work.ajax.php 上传 PHP 文件，导致远程代码执行（RCE）。
• CWE：CWE-434（危险文件上传）

🚀 功能

1. 提示输入：
   • 目标 URL。
   • Session Cookie（ch_sid）。
   • 攻击者 IP 和端口（用于反弹 Shell）。
2. 修改 rce.php 中的 IP 和端口。
3. 执行：
   • GET 请求到 /main/work/work.php?cidReq=HW。
   • POST 请求到 /main/inc/ajax/work.ajax.php 上传 rce.php 和 .htaccess。
4. 显示 Web Shell 的 URL（/app/cache/rce.php）。

📦 要求

• Python：requests、colorama。

  root@kitploit:~

  pip install requests colorama
  
  

• 文件：rce.php（PentesterMonkey 版本，包含在仓库中）、.htaccess（由脚本生成）。

• 网络：用于监听器的 IP 和端口（例如 nc -lvnp 4444）。

🛠️ 使用方法

1. 克隆仓库：

   root@kitploit:~

   git clone https://github.com/SkyW4r33x/CVE-2023-4226
   cd CVE-2023-4226    
   

2. 赋予脚本执行权限：

   root@kitploit:~

   chmod +x CVE-2023-4226.py    
   

3. 安装依赖：

   root@kitploit:~

   pip install requests colorama    
   

4. 在一个终端中启动监听器：

   root@kitploit:~

   nc -lvnp 4444    
   

5. 运行脚本：

   root@kitploit:~

   ./CVE-2023-4226.py    
   

6. 输入：

   • Chamilo 的 URL。
   • ch_sid Cookie。
   • 监听器的 IP 和端口。

7. 访问 Web Shell 以触发反弹 Shell：

   root@kitploit:~

   http://<chamilo>/app/cache/rce.php    
   

   示例：http://chamilo.local/app/cache/rce.php

🛡️ 缓解措施

• 更新到 Chamilo >= v1.11.26。

• 对文件名进行消毒处理。

• 在 disable_dangerous_file() 中阻止 HTML 内容。

• 在 .htaccess 中添加：

  root@kitploit:~

  RedirectMatch 403 ^/main/inc/lib/javascript/bigupload/files
  Header set X-Content-Type-Options nosniff    
  

⚠️ 法律声明

仅供 授权测试 使用。未经授权的使用是 非法的。

🙌 致谢

• 漏洞发现者：Ngo Wei Lin (@Creastery), STAR Labs。
• 脚本作者：SkyW4r33x