CVE-2022-24707 استغلال حقن SQL في Anuko Time Tracker

أداة تقييم أمني تبيّن ثغرة حقن SQL في ميزة puncher في الإصدار 1.20.0 من Anuko Time Tracker. تساعد هذه الأداة في تفريغ قاعدة البيانات tt_users بالكامل وتكشف كل إدخال على حدة، إذا تم استخدامها وفقًا للتعليمات البسيطة التالية!

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة لما يلي:

البحث والتعليم الأمني
اختبار الاختراق المصرح به
توضيح الثغرات في بيئات خاضعة للتحكم

الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها يعد غير قانوني.

🚀 الميزات

الاستغلال الآلي: عملية مبسطة من تسجيل الدخول إلى استخراج بيانات الاعتماد
حقن SQL: يستغل حقن SQL القائم على الوقت في ميزة puncher
استخراج بيانات الاعتماد: يسترجع جميع بيانات اعتماد المستخدمين من قاعدة البيانات
التنظيف التلقائي: يزيل الآثار بعد الاستغلال
واجهة سهلة الاستخدام: مخرجات واضحة ومؤشرات تقدم
معالجة الأخطاء: إدارة قوية للأخطاء وتغذية راجعة للمستخدم

📋 المتطلبات الأساسية

تطبيق الويب

الإصدار 1.20.0 أو أقل
صلاحية الوصول كمسؤول (Administrator) مطلوبة إلزاميًا
اسم قاعدة بيانات المستخدمين هو tt_users (وهو الافتراضي أو يمكن تغييره أيضًا في السكربت)
أنشئ مجموعة في Anuko Time Tracker عبر تسجيل الدخول كمسؤول (Administrator)
أعد تسجيل الدخول الآن كمدير مجموعة (Group Manager) في تطبيق Anuko على الويب
أضف الآن مشروعًا تجريبيًا (DEMO) كمدير مجموعة داخل المجموعة
فعّل الآن إضافة Puncher من قسم Plugin
تأكد من حفظ جميع التغييرات!

داخليًا

Python 3.6+

الحزم المطلوبة:

pip install requests beautifulsoup4 lxml

📖 الاستخدام

python3 anuko_exploit.py --host http://target.com --username user --password pass

مثال

python3 anuko_exploit.py --host http://192.168.1.100/timetracker --username admin --password admin123

الوسائط

الوسيط الوصف مطلوب --host عنوان URL المستهدف (مثل: http://target.com/timetracker) نعم --username اسم مستخدم صالح للمصادقة نعم --password كلمة مرور صالحة للمصادقة نعم --help عرض رسالة المساعدة وأمثلة الاستخدام لا

CVE-2022-24707_AnukoTimeTracker_Version-1.20.0_POC

الأكثر شعبية