Exploit for Missing Authorization in Elementor Website_Builder CVE-2022-1329

Name: Exploit for Missing Authorization in Elementor Website_Builder CVE-2022-1329
Rating: 5 (216 reviews)
2025-09-22 | CVSS 8.8
## https://sploitus.com/exploit?id=1172256A-6F7D-5B4C-A3C0-E3F88EA38C7B
# Отчёт по учебной практике

## Содержание

- [1. Введение](#1-введение)
    - [1.1 Цели практики](#11-цели-практики)
    - [1.2 Индивидуальное задание практики](#12-индивидуальное-задание-практики)
    - [1.4 Легенда к индивидуальному заданию](#14-легенда-к-индивидуальному-заданию)
- [2. Практическая часть](#2-практическая-часть)
    - [2.1 Подготовка материалов](#21-подготовка-материалов)
    - [2.2 Анализ данных дампа трафика](#22-анализ-данных-дампа-трафика)
    - [2.3 Ход компьютерных атак](#23-ход-компьютерных-атак)
    - [2.4 Итог компьютерных атак](#24-итог-компьютерных-атак)
- [3. Заключение](#3-заключение)
- [4. Список используемых материалов](#4-список-используемых-материалов)

## 1. Введение

### 1.1 Цели практики

- Изучение возможностей и интерфейса программы **Wireshark**
- Развитие навыков анализа сетевого трафика
- Понимание различных типов компьютерных атак
- Практическое применение теоретических знаний по кибербезопасности

### 1.2 Индивидуальное задание практики

Задачей во время прохождения учебной практики является анализ сетевого трафика на предмет наличия компьютерных атак (далее — КА). После выявления КА студенту необходимо произвести максимально подробное описание КА с обязательным указанием следующих пунктов:

- дата и время проведения КА;
- IP-адрес атакующего;
- IP-адрес жертвы;
- вид КА (например: подбор пароля к сервису FTP, эксплуатация уязвимости MS17-010, XSS, сканирование и т.д.);
- успешность КА (успешна или неуспешна и почему);
- в случае успешности КА определить её влияние на систему (например: получение административного доступа к серверу при помощи протокола Telnet, получение непривилегированного доступа к серверу с правами пользователя oracle);
- в случае успешности КА определить дальнейшие действия злоумышленника (например: вывод системы из строя, повышение привилегий, кража информации, модификация информации, использование скомпрометированной системы в своих целях, загрузка вредоносного программного обеспечения и т.д.).

Описание КА приводится с обязательным описанием зафиксированной вредоносной активности и представлением скриншотов, листингов кода и т.д.

### 1.3 Легенда к индивидуальному заданию

У компании «БесперспективСолюшнс» появились проблемы. На закрытых форумах распространяются персональные данные её сотрудников. Проверяя целостность «базы данных» персонала, системные администраторы обнаружили, что данные оказались зашифрованы. Руководство компании предполагает, что причиной возникновения этих проблем могла стать цепочка компьютерных атак и поэтому решило запросить помощь у специалистов по информационной безопасности с целью установления причин печальных событий и восстановления доступа к персональным данным сотрудников. Дамп сетевого трафика — это всё, что смогли предоставить системные администраторы для расследования, но для настоящих профессионалов это не должно быть проблемой.

---

## 2. Практическая часть

### 2.1 Подготовка материалов

Ознакомившись с руководством по программе **Wireshark**, я скачал и установил её. Затем загрузил архив с практическим заданием и распаковал его с помощью предоставленного пароля. Внутри находился дамп трафика `SPOTask.pcap`, который был открыт в установленной программе.

![Файл SPOTask.pcap в программе Wireshark](images/image01.png)

*Рисунок 1 – Файл SPOTask.pcap в программе Wireshark*

### 2.2 Анализ данных дампа трафика

Открыв свойства файла (рис. 2), можно увидеть время начала и конца захвата трафика, а также продолжительность и количество захваченных пакетов:

- **Первый пакет отправлен:** 13 апреля 2024 в 16:44:05  
- **Последний пакет получен:** 13 апреля 2024 в 17:04:29  
- **Длительность атаки:** 20 минут 33 секунды (1223 секунды)

![Свойства файла SPOTask.pcap](images/image02.png)

*Рисунок 2 – Свойства файла SPOTask.pcap*

Во вкладке “All Addresses” отображаются все IP-адреса, присутствующие в дампе. Из анализа первых строк дампа определены:

- **IP-адрес атакующего:** `10.0.1.85`
- **IP-адрес жертвы:** `10.0.1.88`

![Вкладка All Addresses](images/image03.png)

*Рисунок 3 – Вкладка “All Addresses”*

Далее необходимо определить виды компьютерных атак, их успешность, влияние на систему и возможные дальнейшие действия злоумышленника. Для этого потребуется анализировать дамп трафика с помощью различных фильтров, чтобы понять происходящие события.

### 2.3 Ход компьютерных атак

Вся атака проводилась в одну дату — **13.04.2024**.

#### Сканирование TCP-портов

В период с **16:44:06** по **16:45:16** с адреса атакующего была зафиксирована атака «Сканирование TCP-портов» (вероятно, утилитой **nmap**). Атака успешна — обнаружены открытые порты **80** и **22**. Это видно в дампе как «TCP Handshake».

![Сканирование TCP-портов](images/image04.png)  
*Рисунок 4 – Сканирование TCP-портов*

#### Перебор директорий

С **16:45:16** по **16:59:22** зафиксирована атака «Перебор директорий» с помощью **gobuster** (определено по User-Agent). Атака успешна — найдена директория **wp-admin**.

![Перебор директорий gobuster](images/image05.png)  
*Рисунок 5 – Перебор директорий gobuster*

#### Исследование интерфейса и регистрация пользователя

После перебора директорий атакующий вручную исследовал интерфейс веб-приложения, обнаружил открытую форму регистрации и зарегистрировал пользователя.

![Регистрация пользователя](images/image06.png)  
*Рисунок 6 – Регистрация пользователя*

#### Эксплуатация уязвимости CVE-2022-1329

В период с **16:50:04** по **16:50:07** зафиксирована эксплуатация уязвимости **CVE-2022-1329** в плагине WordPress Element (версии 3.6.0–3.6.2), позволяющей загружать и запускать произвольные PHP-файлы (**удалённое исполнение кода**). Атака успешна — получено обратное соединение на порт **4444**.

![Эксплуатация CVE-2022-1329](images/image07.png)  
*Рисунок 7 – Эксплуатация CVE-2022-1329*

![Листинг полезной нагрузки](images/image08.png)  
*Рисунок 8 – Листинг полезной нагрузки*

#### Сканирование на SQL-инъекции

С **16:51:00** по **16:51:11** — попытка сканирования веб-приложения на наличие SQL-инъекций с помощью **sqlmap** (определено по User-Agent). Атака неуспешна — сканирование остановлено атакующим.

![Сканирование sqlmap](images/image09.png)  
*Рисунок 9 – Сканирование sqlmap*

#### Перебор паролей

С **16:51:53** по **16:53:13** — перебор паролей для учётной записи **admin** с помощью **Hydra**. Атака неуспешна — пароль не подобран.

![Перебор паролей Hydra](images/image10.png)  
*Рисунок 10 – Перебор паролей Hydra*

#### Получение системных файлов

С **16:54:39** по **16:55:53** — установлено новое обратное соединение по порту **443**. Атакующий скачал файлы **/etc/passwd** и **/etc/shadow** (содержат пользователей системы и захешированные пароли).

![Получение /etc/passwd и /etc/shadow](images/image11.png)  
*Рисунок 11 – Получение /etc/passwd и /etc/shadow*

![Содержимое файлов](images/image12.png)  
*Рисунок 12 – Содержимое файлов*

#### Доступ к SSH

В **16:57:09** атакующий, получив пароль root, подключился к **ssh-сервису**. Трафик ssh зашифрован, поэтому действия неизвестны, но предположительно были совершены дальнейшие атаки.

![Подключение к SSH](images/image13.png)  
*Рисунок 13 – Подключение к SSH*

#### Установка web shell и получение данных

В **16:59:22** злоумышленник обратился к ресурсу **wp-admin-support.php** — командной оболочке для удалённого управления сервером, предположительно загруженной через ssh. После этого получил доступ ко всем данным сервера.

![Доступ к web shell](images/image14.png)  
*Рисунок 14 – Доступ к web shell*

![Данные сервера](images/image15.png)  
*Рисунок 15 – Данные сервера*

#### Кража персональных данных

С **16:59:22** по **17:04:12** проведена последняя стадия атаки — получен доступ к персональным данным сотрудников (**people.txt.gpg** и **pass.zip**).

![Доступ к people.txt.gpg и pass.zip](images/image16.png)  
*Рисунок 16 – Доступ к people.txt.gpg и pass.zip*

![Местоположение файлов](images/image17.png)  
*Рисунок 17 – Местоположение файлов*

## 3. Заключение

В ходе учебной практики были освоены методы и инструменты анализа сетевого трафика с использованием программы **Wireshark**. Получены навыки выявления и классификации различных типов компьютерных атак, а также определения их успешности и последствий для системы. На основании проведённого анализа разработаны рекомендации по повышению безопасности сети, что позволит предотвратить аналогичные инциденты в будущем. Полученные знания и опыт стали важным этапом профессионального развития в области информационной безопасности.

---

## 4. Список используемых материалов

- [Wireshark User’s Guide](https://www.wireshark.org/docs/wsug_html_chunked/) (дата обращения: 07.06.2024)
- [CVE-2022-1329 Exploit Example](https://github.com/mcdulltii/CVE-2022-1329) (дата обращения: 15.06.2024)
- [Анализ дампа трафика на Habr](https://habr.com/ru/articles/735866/) (дата обращения: 15.06.2024)
- [Web Shell — Энциклопедия Касперского](https://encyclopedia.kaspersky.com/glossary/web-shell/) (дата обращения: 16.06.2024)