Обзор уязвимостей платной CMS Affiliate Site Management System V2.0 (фарма)

// Wake Up Neo The Matrix Has You (кто участвовал, тот вспомнит)
// Американская дрянь, химия, наркота... никогда мне не прельщала...

Affiliate Site Management System V2.0

История длиною в 3 года

Предыстория:

Когда-то, когда трава была зеленее, деревья выше, а я моложе, некий форумчанин спамил по личкам в ожидании помощи по добыче email-аккаунтов фармокологических сайтов. Такое случается очень и очень часто, никто из тех, кто взялся за ум, уже и не обращает внимания. Но среди сайтов был один интересный тем, что когда-то я уже находил SQL инъекцию на нём. На это письмо я и нарвался пару недель назад, сортируя почту.

Тогда он меня мало интересовал. SQL подразумевала некоторую фильтрацию, куча ограничений, в бд нет таблички пользователей, даже админов нет. Как и что было делать - вообще не понятно.

Но от скуки и для студентов ради (преподаю курс Web-уязвимостей в университете), SQL была найдена, повторно проверена и всё... Ничего толком не поменялось. Было решено продолжить исследования.

Нашёл похожие сайты, сформировал dork, дыра везде одинаковая. Те же самые ограничения, кое-где дополнительная фильтрация, даже WAF кое-где... Но среди всех сайтов линейки выбивался 1 - на нём mysql работал от root, что даёт необходимые привилегии по чтению исходников CMS.

Итак, на начало исследования я имел следующие моменты:
1) Раскрытие путей до основного сайта (в SQL инъекте было сообщение о ошибке);
2) MySQL root с очень сложным паролем. От него работала CMS.
3) 1 сосед с WordPress 3.* на борту. Пасс также очень сложный.
4) MQ = on.

Вектор атаки был выбран наипростейший - читаем конфиг ВордПресса, узнаём пасс от БД. Пробуем такой же пасс на root. Ищем PhpMyAdmin и пробуем пробиться внутрь.

Конфиг был прочитан через load_file(). Пасс выдран. На основном сайте PMA был спрятан хитро, DirBuster не смог его отыскать. За то на дополнительном отыскался в стандартной директории. Авторизовался в PMA под юзером для WP, сменил пасс на WP, чтоб можно было авторизоваться. Права на папки и файлы были выставлены супер-секурно, аплоад был невозможен никуда и ни при каких обстоятельствах. WordPress был отброшен как бесполезный. Права на Load_file у юзера для WP были без привилегий на чтение файлов, зато читался mysql.user и даже вносились изменения в учётки.

Залиться через SQL было нельзя по причине включенных магических кавычек. Поэтому был сменен пасс на root, сам mysql-сервер был уронен эксплойтом от многоуважаемого Light

Code:

select 1 from table procedure analyse ((select 1 from (select 1)a),1);

Привелегии обновились, я зашёл в PMA под root.

Теперь уже можно было из консоли PMA залить мини-шелл в директорию основного или дополнительного сайтов. WP не сдался, а основной имел врайтабельные директории в глубине директив, которые DirBuster мне не показал. Решено было продолжать ковырять исходники.

И всё бы хорошо, если бы они не были накрыты IONCUBE. Пришлось искать деионкубер, расшифровывать исходники и искать необходимые директории. Наконец, шелл был залит, исходники сдамплены, цель, казавшаяся невыполнимой 3 года назад, была достигнута, а всё пиво выпито.

Отдаю вам всё что наффазил, всё таки исходники закрытых CMS, продающие всякую американскую дрянь для меня редкость, вдруг и вы что-нибудь интересное для себя найдёте.

Итак, наша цель - Affiliate Site Management System V2.0

dork: inurl:cart.htm intext:"Shipping Terms"

SQL-инъекция:

(Внимание. Все точки необходимо заменять Double URL Encode вариантом => %252e)

Request:

Response:

Full Path Disclosure:

Request:

Response:

Раскрытий путей будет много, привёл всего 1 пример. Ибо и так в SQL запросе раскрывается.

XSS via SQL (SiXSS):

Request:

Response:

Private key authentication:

(Бага существует из-за того, что любой пользователь может прочитать на сервере файл, в котором хранятся пара login+pass в виде sha1(login):sha1(pass), подобрать данные и авторизоваться в Admin-панели).

Source ( /admin/application/controllers/admin.php):

Request:

Response:

Админка по дефолту - http://[host]/admin

Отдельно выложу исходники для изучения и пример SQL дампа.

 

В одном из С******их **ГУ.