أداة اختبار ثغرات خادم Apache HTTP

يوفر هذا المستودع إثبات المفهوم (PoC) لاختبار ثغرات مختلفة في خادم Apache HTTP، بما في ذلك هجمات الالتباس في أسماء الملفات (Filename Confusion Attacks)، وتزوير الطلبات من جانب الخادم (SSRF)، ورفض الخدمة (Denial of Service)، وغيرها المتعلقة بـ CVEs الأخيرة. تقوم الأداة بإرسال طلبات HTTP مصممة خصيصاً لتقييم ما إذا كان الخادم عرضة لأنواع معينة من الهجمات.

الميزات

• اختبار ثغرات متعددة تشمل:
  • CVE-2024-38472: ثغرة SSRF لخادم Apache HTTP على Windows عبر UNC
  • CVE-2024-39573: استبدال معالج الوكيل في mod_rewrite
  • CVE-2024-38477: تعطل يؤدي إلى رفض الخدمة في mod_proxy
  • CVE-2024-38476: مخرجات تطبيق الواجهة الخلفية القابلة للاستغلال والتي تسبب إعادة توجيه داخلية
  • CVE-2024-38475: ضعف في mod_rewrite مع مطابقة مسار نظام الملفات
  • CVE-2024-38474: ضعف مع علامات الاستفهام المشفرة في المراجع الخلفية
  • CVE-2024-38473: مشكلة ترميز الوكيل في mod_proxy
  • CVE-2023-38709: تقسيم استجابة HTTP
• واجهة سطر أوامر سهلة الاستخدام لاختبار نقاط النهاية المختلفة.

كيفية العمل

تقوم الأداة بإجراء طلبات HTTP إلى نقاط نهاية محتملة قد تكون عرضة لهجمات الالتباس أو سوء التهيئة. تتحقق من أنماط وترميزات محددة قد تؤدي إلى وصول غير مصرح به أو أعطال في النظام.

أهداف الاختبار

تتحقق الأداة من الثغرات في المسارات التالية:

• php-info.php
• xmlrpc.php
• adminer.php
• bin/cron.php
• cache/index.tpl.php
• cgi-bin/redir.cgi
• وغيرها من عناوين URL المشفرة لتجاوز محتمل.

البدء

المتطلبات الأساسية

• Python 3.x مثبت على نظامك.
• مكتبة Requests الخاصة بلغة Python لإرسال طلبات HTTP.

يمكنك تثبيت مكتبة Python المطلوبة باستخدام:

pip install requests

التثبيت

استنساخ هذا المستودع:

git clone https://github.com/mrmtwoj/apache-vulnerability-testing.git
cd apache-vulnerability-testing

الاستخدام

لاستخدام الأداة، قم بتوفير عنوان URL الهدف الذي ترغب في اختباره:

python3 poc_vulnerability_testing.py --target http://<target-ip>

مثال:

python3 poc_vulnerability_testing.py --target http://192.168.1.10

وسائط سطر الأوامر

• target: عنوان URL لخادم Apache المراد اختباره (مثل http://example.com).
• info: عرض معلومات الأداة، مثل اسم المطور والإصدار و CVEs المرتبطة.
• about: عرض معلومات حول الأداة والغرض منها.