CVE-2025-32432: أداة استغلال تسميم السجلات للوصول إلى RCE

الوصف

يحتوي هذا المستودع على استغلال احترافي لإثبات المفهوم (PoC) مكتوب بلغة Go، مصمم لإظهار سلسلة ثغرات حرجة في نظام Craft CMS. يستغل هذا الاستغلال ثغرة تسميم السجلات التي تؤدي إلى تضمين الملفات المحلية (LFI)، ويحقق في النهاية تنفيذ الأوامر عن بُعد (RCE) عبر قشرة عكسية (reverse shell).

التحليل الفني

يتبع الاستغلال سلسلة تنفيذ متعددة المراحل:

1. تسميم السجلات

تبدأ الأداة بإرسال طلب GET غير مصادق عليه إلى الهدف. من خلال التلاعب بمعامل a وتوفير CraftSessionId مخصص عبر الكوكيز، يمكن للمهاجم إجبار التطبيق على كتابة حمولة PHP في ملف سجل الجلسة الموجود في /var/lib/php/sessions/sess_[sessionId].

2. تجاوز CSRF والتعامل مع الجلسات

للتفاعل مع نقطة النهاية generate-transform، تستخرج الأداة تلقائيًا كوكيز X-CSRF-Token وCRAFT_CSRF_TOKEN الضرورية من الواجهة الإدارية، مما يضمن قبول الخادم لطلب POST اللاحق.

3. من LFI إلى RCE

تستغل الأداة نقطة النهاية generate-transform عن طريق تمرير حمولة JSON مصممة خصيصًا. من خلال إساءة استخدام فئة \yii\rbac\PhpManager عبر حقن سلوك (behavior injection)، تُحدث الأداة تضمينًا محليًا للملفات (LFI) لسجل الجلسة المسموم سابقًا. وبمجرد تنفيذ كود PHP في السجل، تستدعي الأداة قشرة عكسية مبنية على Python.

4. مستمع مدمج

على عكس البرامج النصية التقليدية، تنفذ هذه الأداة مستمع TCP متزامنًا باستخدام Go routines. وهذا يسمح للأداة بالتقاط اتصال القشرة العكسية تلقائيًا على منفذ محدد، مما يوفر تجربة سلسة «بنقرة واحدة» من تسليم الاستغلال إلى الوصول إلى القشرة.

الاستخدام

go run main.go

اتبع التعليمات الظاهرة على الشاشة لتوفير عنوان URL للهدف، ومنفذ المستمع، وعنوان IP الخاص بك.

إخلاء المسؤولية

هذه الأداة مخصصة للأغراض التعليمية ولأغراض الاختبار المصرح به فقط.

المراجع

• SensePost: التحقيق في حملة استغلال نشطة تستخدم RCE في CraftCMS — البحث الأساسي والمنهجية المعتمدة.
• إشعار GitHub الأمني: GHSA-f3gw-9ww9-jmc3 — الإفصاح الرسمي عن الثغرة.