CVE-2017-9805.py

1. كود استغلال أفضل لـ CVE 2017 9805 في Apache Struts
2. يجب أن يكون خاليًا من الأخطاء في معظم الحالات

لماذا إعادة الكتابة؟

وجدت أن معظم أكواد الاستغلال المنتشرة على الإنترنت تستخدم ببساطة ربط السلاسل النصية (string concatenation) لإدخال الأوامر التي يوفرها المستخدم ووضعها داخل سلسلة XML. هذا ليس موثوقًا كثيرًا لأن XML يتطلب ترميزًا خاصًا لبعض الرموز الخاصة. ونتيجة لذلك، سيؤدي إلى خطأ لأن تلك السكربتات لا تأخذ هذا في الاعتبار. بالإضافة إلى ذلك، قد تؤدي بيانات XML المشفرة بشكل صحيح إلى أخطاء في الحصول على تنفيذ سليم للأوامر. هذا السكربت يحل هذه المشكلات.

ما الجديد؟

1. أضفت تحليلًا سليمًا للوسائط (argument parsing).
2. فحص التنسيق السليم للوسائط باستخدام التعبيرات النمطية (Regex).
3. التعامل مع XML ككائن (object) بدلاً من مجرد سلسلة نصية.
4. ترميز الأوامر لمنع الأخطاء الناتجة عن الرموز الخاصة في الحمولة التي يوفرها المستخدم.