🛠 Apache_GoExploiter – Toolkit für PUT-Methoden-Exploit CVE-2025-24813

Apache_GoExploiter ist ein in Go geschriebenes Proof-of-Concept-Tool zum Scannen und Ausnutzen von Apache Tomcat-Servern, die anfällig für CVE-2025-24813 sind. Es testet auf offene HTTP PUT-Unterstützung auf Port 8080 und versucht, Test- oder Shell-Dateien in beschreibbare Verzeichnisse hochzuladen.

📸 Demo

Vorschau

⚙️ Funktionen

🔍 Erkennt automatisch http://<host>:8080, auch bei Eingaben wie example.com oder http://example.com
⚡ Multithread-Scan-Unterstützung (-threads)
✍️ Testet auf PUT-Unterstützung und beschreibbare Verzeichnisse
🐚 Optionaler Shell-Upload, wenn das Verzeichnis beschreibbar ist
💾 Speichert erfolgreiche Ergebnisse in Ausgabedateien

🚀 Verwendung

🧪 Option 1: Ausführen über Go (ohne Kompilierung)

go run Apache_GoExploiter.go -list list.txt -threads 50

🔨 Option 2: Erstellen und Ausführen

🔹 Linux

go build -o Apache_GoExploiter Apache_GoExploiter.go
./Apache_GoExploiter -list list.txt -threads 50

🔹 Windows (PowerShell / CMD)

go build -o Apache_GoExploiter.exe Apache_GoExploiter.go
Apache_GoExploiter.exe -list list.txt -threads 50

📥 Eingabeformat

Geben Sie Ihre Ziel-URLs in einer Datei an (z. B. list.txt). Format:

http://example.com
example.org

Fügen Sie kein :8080 hinzu — das Tool fügt es automatisch hinzu und testet es.

📂 Ausgabedateien

Datei	Beschreibung
`PUT_VULN.txt`	Ziele, die positiv auf HTTP PUT reagiert haben
`Shelled.txt`	Ziele, bei denen der hochgeladene Shell-Upload erfolgreich war (beschreibbarer Pfad)

📦 Download

Sie können Binärdateien hier herunterladen oder aus dem Quellcode mit go build erstellen.

🧠 CVE-Details – CVE-2025-24813

Apache Tomcat erlaubt Datei-Uploads über die PUT-Methode unter bestimmten fehlkonfigurierten Kontexten (wie WebDAV). Wenn aktiviert:

Angreifer können beliebige Dateien (z. B. eine JSP-Shell) hochladen
Möglicherweise ist keine Authentifizierung erforderlich
Beschreibbare Verzeichnisse können die Ausführung von Code ermöglichen

⚠️ Rechtlicher Hinweis

Dieses Tool ist ausschließlich für pädagogische und autorisierte Sicherheitstests bestimmt.
Scannen Sie keine Domains, die Sie nicht besitzen oder für die Sie keine Testberechtigung haben.
Unbefugte Nutzung kann illegal sein und nach geltendem Recht bestraft werden.

✍️ Autor

Entwickelt von DRCrypter.ru
Telegram: @drcrypterd0tru
GitHub: @drcrypterdotru

Apache-GOExploiter

Beliebteste