CVE-2025-31161 - استغلال تجاوز المصادقة لإنشاء مستخدم في CrushFTP

📌 الوصف

تستهدف أداة استغلال Python هذه خوادم CrushFTP المعرضة لـ CVE-2025-31161. تسمح الثغرة بإنشاء حساب مستخدم دون مصادقة عن طريق إرسال حمولة XML مصممة إلى واجهة الويب، مما قد يؤدي إلى اختراق كامل للخادم.

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة للاختبارات الأمنية التعليمية والمصرح بها فقط.
الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها غير قانوني وغير أخلاقي.

🧰 المتطلبات

• Python 3
• pip3
• وحدات Python:
  • requests
  • colorama

✅ تثبيت Python3 و pip3

Debian/Ubuntu:

sudo apt update
sudo apt install python3 python3-pip -y

CentOS/RHEL:

sudo yum install python3 python3-pip -y

macOS (مع Homebrew):

brew install python3

✅ تثبيت تبعيات Python

pip3 install requests colorama

🔧 الاستخدام

python3 CVE-2025-31161.py --target_host <TARGET_IP> [--port <PORT>] [--target_user <ADMIN>] [--new_user <USERNAME>] [--password <PASSWORD>]

🔍 مثال

python3 CVE-2025-31161.py --target_host 192.168.1.100 --new_user backdoor --password P@ssw0rd!

🧪 خيارات سطر الأوامر

🖥️ نموذج الإخراج

[+] Preparing Payloads
  [-] Warming up the target...
  [-] Target is up and running
[+] Sending Account Create Request
  [!] User created successfully!

[+] Exploit Complete! You can now login with:
   [*] Username: AuthBypassAccount
   [*] Password: CorrectHorseBatteryStaple

👨‍💻 المؤلف

Gaurav Bhattacharjee (G4UR4V007)

📄 الترخيص

هذا المشروع مرخص بموجب رخصة MIT.