INTRO

Начиная данное исследование несколько месяцев назад я ставил перед собой следующие задачи:

- Максимально раскрыть продуктивные процессы проходящие при анализе системы

- Показать максимальное количество векторов для развития атаки

- Наконец-то написать комплексный и интересный материал без воды

* В связи с непредвиденными обстоятельствами резко сократилось сроки для публикации материала, в связи с чем вынужден начать публикацию ранее намеченного срока.

(Отдельный привет DippyHippy слившему часть находок в закрытую часть форума exploit in)

LOOKING AROUND

Scope:

[*] IPs

[*] Domains

*.citrix.com

*.citrixonline.com

* Отчет сканирования портов в разделе с вложениями.

Беглый анализ крутящегося на Web портах помог найти основную точку централизации и облегчить труд по составлению представления как все-же это все работает. В данной части особое внимание уделим домену cms.citrixonline.com

Первый взгляд:

http://1.bp.blogspot.com/-Wds94OSWxu...2B19.05.57.png

http://4.bp.blogspot.com/-GX5kaFSffR...2B19.07.42.png

80 и 443

http://4.bp.blogspot.com/-T2-MDvviH1...2B19.03.37.png

В поисках : Отметим "настройку" robots.txt

http://4.bp.blogspot.com/-DzzbYtltK3...2B19.11.39.png

http://4.bp.blogspot.com/-anKE_cEJSZ...2B19.15.16.png

_ttp://cms.citrixonline.com/welcome

* Anonymous

http://4.bp.blogspot.com/-ogMapas0x7...2B19.16.57.png

Отсылка к CRDE Lite _http://cms.citrixonline.com/crx/de/index.jsp

http://4.bp.blogspot.com/-OR3IKp3Nc9...2B19.18.55.png

Отличная реализация поиска: *.sharefile.com/username=press@citrix.com&password=Citrix123

http://4.bp.blogspot.com/-mI9y4eHsXA...2B19.21.45.png

Content Repository Extreme 2.3.26

_http://cms.citrixonline.com/crx/explorer/index.jsp

http://1.bp.blogspot.com/-TerFIlUKri...2B19.27.50.png

Пользователи и пароли в sha1

http://1.bp.blogspot.com/-2RoXxgfX-g...2B19.43.08.png

{sha1}09cd05eb10bff7e0-26d8d96648a6368e7c575e7ea49849d23e7e8492

Back-end конфигурация gotomypc.com с возможностью внесения коррективов в контент.

http://1.bp.blogspot.com/-5caO5jD3m_...2B19.47.14.png

И загрузки произвольных фаилов.

http://4.bp.blogspot.com/-aMfjWGXVbN...2B19.51.13.png

Возможность вносить коррективы в конфигурацию ключевых сервисов в системе в реальном времени:

http://1.bp.blogspot.com/-bAtps24b8b...2B19.56.12.png

Аутентификационные данные к сторонним ресурсам И так далее:

http://4.bp.blogspot.com/-4m1YvaAINT...2B19.58.58.png

Как и полная картина относительно используемого по и взаимодействия с ним:

http://1.bp.blogspot.com/-InCn4QT-sI...2B20.03.29.png

* Полная картина добавится в разделе визуализации

Интересные фишки менеджера пакетов CRX:

Возможность создавать и модифицировать пакеты от анонимного пользователя подменив путь:

http://3.bp.blogspot.com/-VzXM9YoxWL...2B20.09.49.png

Возможность инжектировать HTML код:

http://3.bp.blogspot.com/--aFRZq7qdh...2B20.12.19.png

И компилировать свой проект в песочнице:

http://4.bp.blogspot.com/-F0gMzw_BF-...2B20.14.37.png

Бонусом отсутствие фильтрации передаваемых данных (опять же html-inj):

http://3.bp.blogspot.com/-NGTNQxK3BZ...2B20.17.35.png

Таковы результаты по текущему домену, в довесок схожие уязвимости были найдены на всех сабдоменах компании:

http://2.bp.blogspot.com/-c6N2nfpIj5...2B20.19.26.png http://3.bp.blogspot.com/-xvSUqzEYvr...2B20.19.41.png

Продолжение я посвещу более детальному разбору потенциальных рисков относительно найденных уязвимостей, и продемонстрирую ряд векторов атак.

@w0rm.ws