rcekit

RCE-Erkennungs- und Bestätigungs-Toolkit, das URLs oder erfasste HTTP-Anfragen auf Command Injection, SSTI, blinde und OOB-Pfade testet und abgestufte Urteile mit Beweis liefert.

Jede Zeile wird von tests/bench/ reproduziert, das RCEKit gegen diese Builds unter Docker ausführt und das Urteil und seine Negativkontrolle prüft. Letzter Lauf grün bei 2.36.0 (2026-09-20): 3/3 Fälle. Das ist eine zeitpunktbezogene Aussage, keine kontinuierliche -- der Benchmark wird in einem Rhythmus ausgeführt, nicht bei jeder Änderung.

Jede Kontrolle ist der echte Test der Zeile. Struts2 mit reflected sondiert kommt negative zurück, weil S2-001 OGNL neu auswertet und keine Shell dahinter steht. Webmins time-Signal wird bei needs-review gehalten auf einem Ziel, wo es zufällig richtig ist. Und Solr mit oob sondiert kommt negative zurück, obwohl es ausnutzbar ist -- oob baut Shell-Befehle und eine ${jndi:...}-Senke führt keinen davon aus, was die Lücke ist, die lookup zu schließen existiert, gemessen statt behauptet.

Die Log4Shell-Zeile sagt lookup-sink, nicht confirmed: Was der Callback beweist, ist, dass die Senke eine URI aufgelöst hat, die RCEKit gewählt hat. RCE zu erreichen erfordert einen Server, der den Lookup mit einer ladbaren Klasse beantwortet, und bei der Standard-Risikostufe geht nur jndi:dns:// hinaus -- ein Namens-Lookup, mit keiner Verbindung darüber hinaus, auf der ein solcher Server antworten könnte.

Schnellstart

RCEKit hat zwei unterstützte Formen, und keine ist ein Fallback für die andere.

Installiere es — pipx hält die CLI in ihrer eigenen Umgebung, was du für ein Tool statt einer Bibliothek willst:```bash pipx install rcekit # or: pip install rcekit rcekit --doctor # confirms the corpus it will run with

Beide führen denselben Code aus und melden dieselben Ergebnisse. Die Arbeit mit einem Checkout ist der dritte Weg und erfordert ebenfalls keine Installation:```bash git clone https://github.com/kabiri-labs/rcekit.git cd rcekit # Python 3.8+, standard library only

| -s | --server | Server URL (default: http://localhost:8080) | | -t | --token | API token for authentication | | -o | --output | Output format: json, table, csv (default: table) | | -v | --verbose | Enable verbose output | | -q | --quiet | Suppress non-essential output | | --no-color | | Disable colored output | | --timeout | | Request timeout in seconds (default: 30) |

Beispiele

Konfigurationsdatei

Die Konfigurationsdatei verwendet das YAML-Format:

API-Referenz

Authentifizierung

Alle API-Anfragen erfordern einen gültigen API-Token im Authorization-Header:

Endpunkte

GET /api/v1/vulnerabilities

Gibt eine Liste aller Schwachstellen zurück.

Abfrageparameter:

Beispielanfrage:

Beispielantwort:

POST /api/v1/scans

Startet einen neuen Scan.

Anfragekörper:

Beispielantwort:

GET /api/v1/scans/{scan_id}

Ruft den Status eines bestimmten Scans ab.

Beispielantwort:

DELETE /api/v1/scans/{scan_id}

Bricht einen laufenden Scan ab oder löscht einen abgeschlossenen Scan.``` [detect] methods: reflected, eval [detect] sent 13 probes: confirmed=4, negative=9

[detect] CONFIRMED execution (4): [reflected/unix/raw] ; echo RKYZRIP$((540141+314681))RKFWVFS$(echo RKBWOOC)RKYZRIP (target computed 'RKYZRIP854822RKFWVFSRKBWOOCRKYZRIP' — random operands, absent from control)

| -s | --server | Server URL (default: http://localhost:8080) | | -t | --token | Authentication token | | -o | --output | Output file path | | -v | --verbose | Enable verbose logging | | -q | --quiet | Suppress non-error output | | -f | --format | Output format: json, yaml, table | | -c | --config | Path to configuration file | | -n | --no-color | Disable colored output | | -h | --help | Show help message | | -V | --version | Show version information |

Environment Variables

Configuration File

The tool reads configuration from a YAML file. Example:

Examples

Basic usage:

With authentication:

Output to JSON file:

Using a custom configuration file:

Verbose mode with debug logging:

Exit Codes

Troubleshooting

Connection refused

Ensure the server is running and accessible:

Authentication failed

Verify your token is valid and not expired. Tokens can be regenerated from the web interface under Settings → API Keys.

Timeout errors

Increase the timeout value in your configuration file or via the TIMEOUT environment variable:

Permission denied

Some operations require elevated privileges. Run with sudo if necessary, or ensure your user has the appropriate permissions.

Contributing

We welcome contributions from the community. Please follow these guidelines:

1. Fork the repository
2. Create a feature branch (git checkout -b feature/amazing-feature)
3. Commit your changes (git commit -m 'Add amazing feature')
4. Push to the branch (git push origin feature/amazing-feature)
5. Open a Pull Request

Please ensure your code adheres to the existing style and includes appropriate tests.

License

This project is licensed under the MIT License. See the LICENSE file for details.

Acknowledgments

• Thanks to all contributors who have helped shape this project
• Inspired by similar tools in the open-source community
• Built with Go and Cobra``` [detect] sent 4 probes: confirmed=3, negative=1

[detect] CONFIRMED execution (3): [reflected/unix/raw] ; echo RKHWNHK$((114157+752773))RKXGFIH$(echo RKHSEIF)RKHWNHK (target computed 'RKHWNHK866930RKXGFIHRKHSEIFRKHWNHK' — random operands, absent from control)

Ihre Zustimmung zur Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Bereitstellung der Dienste.``` [verify] loaded request from search.req: enumerating 4 injection point(s) [detect] enumerating 4 injection point(s) x 3 method(s) [detect] cost: 4 points x ~1739 probes = at least 6964 requests [detect] body param 'q': confirmed (1544 probes) <-- CONFIRMED [detect] sent 6371 probes: confirmed=446, negative=5925

Es schlägt überall dort an, wo ein Lauf still leer werden kann: eine Methode, die nicht auf die ausgewählten Umgebungen zutrifft, eine --sink-shape-Stufe, für die die gewählte Shell keine Syntax hat, eine --bridges-Auswahl, die vollständig von der Sicherheitsobergrenze zurückgehalten wird, ein Request-Body, der die Zustellung brach, bevor er ankam.

Ein Lauf, der nur teilweise blind war, bekommt dieselbe Behandlung eine Ebene tiefer. Wenn du ein Second-Order-Oracle angefordert hast und der beobachtete Endpunkt nie geantwortet hat, gelten die Probe-Verdikte weiterhin — aber der Lauf sagt dir, dass sie entschieden wurden, ohne jemals den Kanal zu lesen, auf den du ihn gerichtet hast, statt sie als Second-Order-Negativ durchgehen zu lassen.

Was es bestätigt

Eine CLI, ein --methods-Flag, das die Hauptpfade zu RCE abdeckt:

Drei Dinge erweitern die Reichweite dieser Methoden, ohne zu ändern, was eine von ihnen confirmed nennen wird:

• Second-Order-Ausführung (--observe-url) — wenn der Payload in einer Anfrage landet und in einer anderen ausgeführt wird: gespeichertes SSTI, das auf einer Profilseite gerendert wird, ein Payload, der in ein Log geschrieben wird, das eine Template-Engine später rendert, ein eingereihter Job. Der beobachtete Endpunkt wird gegen einen Snapshot differenziert, der vor dem Senden einer jeden Probe aufgenommen wurde.
• Query-Language-Bridges (--bridges) — COPY … FROM PROGRAM, xp_cmdshell, expect://. Eine Bridge ist ein Träger, kein Oracle: Sie umhüllt den Befehl, den die Methoden ohnehin bauen, sodass dieselben Stufen durch sie hindurch gelten.
• Injection-Point-Enumeration (-p all) — Query, JSON-Blätter, Formularfelder, Multipart-Teile, Cookies, Header und Pfadsegmente, jeweils kodiert für ihren Landeplatz, mit den vor dem Feuern ausgegebenen Probe-Kosten. Ein GraphQL-Body wird danach geordnet, was tatsächlich bestätigen kann: die variables, die ein Resolver vor dem Operation-Dokument selbst liest.

Methoden frei mischen: --methods reflected,eval,time führt alle drei aus und meldet jede Stufe separat.

Ehrlicher Umfang. RCEKit bestätigt RCE, die durch Injection in eine Anfrage erreichbar und von einer Shell oder einem Evaluator interpretiert wird. Es deckt nicht Memory-Corruption-Bugs (Buffer Overflow, UAF) oder Argument-Injection in ein No-Shell-argv-Array ab — das sind andere Probleme. Deserialisierungs-Gadget-Chains bleiben ebenfalls außerhalb des Umfangs: --methods deser beweist, dass ein Endpunkt Angreifer-Daten deserialisiert, und sagt es in seiner eigenen Stufe, aber welches Gadget (falls überhaupt eines) das in Ausführung verwandelt, hängt vom Classpath des Ziels ab, und RCEKit beansprucht nicht, das zu wissen. Es zielt darauf ab, in den obigen injection-getriebenen RCE-Klassen exzellent zu sein, statt in allem mittelmäßig.

Wie RCEKit abschneidet

Die anderen Tools in diesem Bereich sind darauf ausgelegt, dich hineinzubringen. RCEKit ist darauf ausgelegt, dass der Fund der Prüfung durch andere standhält — dem Retest des Kunden, der Triage-Queue, der Report-Review. Dieser Unterschied zeigt sich dreimal.

1. Ein Injection-Point, jede Klasse, ein Lauf

Du weißt selten die Klasse, bevor du testest. Einen unbekannten Sink mit Single-Class-Tools abzudecken bedeutet, jedes nacheinander auszuführen und die Anfrage für jedes neu zu bauen:

_{Abdeckung gemäß der jeweils eigenen dokumentierten Technikliste jedes Projekts. SSTImap ist der gepflegte Nachfolger von tplmap, das sein Autor als unmaintained markiert hat.}```bash

Command injection, expression injection and blind timing against the same

parameter, in one pass, with zero infrastructure

python rcekit.py --acknowledge-consent -r request.txt -p host --methods reflected,eval,time

Diese beiden wären die Entdeckung von jemand anderem gewesen. Fünf Mechanismen erzeugen dieses Urteil, und sie laufen bei jeder Bestätigung:

• Eine nutzlastfreie Kontrollanfrage. Der Nachweis muss mit der Nutzlast vorhanden und ohne sie abwesend sein. Alles, was in beiden vorkommt, ist inconclusive, keine Entdeckung.
• Eine inerte Kontrolle mit demselben Token. Eine zweite Anfrage trägt das identische zufällige Token in einer nicht ausführenden Form. Ein Ziel, das lediglich Eingaben zurückgibt, scheitert hier — so wird eine Reflexion von einer Ausführung getrennt.
• Zufällige Operanden, niemals feste Zeichenketten. Das Orakel ist eine tag-umhüllte Summe oder ein grenzzaun-eingefasstes Produkt, das bei jedem Lauf frisch berechnet wird. Das Zurückgeben der Nutzlast liefert das Literal $((a+b)); nur die Ausführung liefert den Wert.
• Kodierungsbewusste Nachweissuche. Eine Senke, die ihre Ausgabe base64-, hex-, URL-, HTML- oder unicode-escaped, bestätigt dennoch — der rohe Body wird zuerst geprüft, sodass Dekodierung einen verpassten Treffer nur in einen Treffer verwandelt, niemals umgekehrt.
• Nachweissuche über die gesamte Antwort. Der berechnete Wert wird in jedem Kanal der Antwort gesucht — Body, Anwendungs-Header, Cookie-Werte, das Redirect-Ziel, die HTTP-Reason-Phrase und jedes Blatt eines JSON-Fehler- Envelopes — und die Entdeckung benennt den Kanal, der ihn trug. Das Kontroll- Differential wird ebenfalls auf jeden Kanal angewendet, sodass eine Erweiterung dessen, wo RCEKit sucht, nicht erweitert, was es als confirmed bezeichnen wird.

Derselbe Instinkt wirkt in die andere Richtung. Timing bestätigt sich niemals selbst, ein Deserialisierungs-Callback wird niemals als RCE bezeichnet, und ein Lauf, der keine Probes erzeugt hat, wird niemals als negativ bezeichnet.

3. Es ist für ein autorisiertes Engagement gebaut, nicht für ein Labor

Die Kontrollen, nach denen die Rules of Engagement eines Kunden tatsächlich fragen, im Tool statt in deinen Notizen:

Wann du zu etwas anderem greifen solltest

Willst du eine Shell statt eines Urteils? commix und SSTImap führen in die Post-Exploitation weiter; RCEKit stoppt konstruktionsbedingt beim Nachweis. Tausende Hosts nach bekannten CVEs durchsuchen? Das ist Nucleis Aufgabe — und RCEKit schreibt Nuclei-Templates (--output-format nuclei), sodass es deinen Scanner speist, statt mit ihm zu konkurrieren. Weißt du bereits, dass die Injection SQL ist und willst die Datenbank selbst? sqlmap besitzt dieses Terrain — RCEKits Bridges existieren, um zu beweisen, dass das OS von einem Textparameter aus erreichbar ist, nicht um die Datenbank zu exploitieren.

Finde deine Situation

Jede Zeile ist ein durchgearbeitetes Beispiel im Field Guide — der Befehl, was er sendet und wie man liest, was zurückkommt.

Dokumentation

Sicherheit & Ethik

RCEKit exploitiert, und das ist der Punkt. Eine Schwachstelle wird bestätigt, indem man das Ziel dazu bringt, die Sache zu tun, weil das der einzige Nachweis ist, den eine Signatur nicht fälschen und ein gepatchter Build nicht versehentlich erzeugen kann. Was einen Lauf begrenzt, ist nicht die Zurückhaltung beim Exploitieren. Es sind zwei strukturelle Tatsachen und ein Schalter.

Es nimmt keine beliebige Nutzlast von dir an. Probes werden von der Engine gebaut, um einem Orakel zu dienen — Arithmetik auf Operanden, die für diese Probe zufällig sind, ein Name, den nur dieser Lauf hätte wählen können. Es gibt keine Eingabe, die die Erkennung in etwas anderes verwandelt, weil es keine solche Eingabe gibt, die man geben könnte.

Alles, was über die Berechnung eines Wertes hinausgeht, deklariert die Stufe, die es benötigt, sodass ein Flag entscheidet, wie weit ein Lauf geht: --verify-active-risk safe | intrusive | stateful. Eine Methode oder eine einzelne Probe-Form oberhalb dieser Stufe wird namentlich zurückgehalten, mit dem Flag, das sie senden würde — eine Leiter, die still schrumpft, ist nicht von einem Ziel zu unterscheiden, bei dem nichts zu finden ist. Gegen eine Wegwerf- Instanz erhöhe die Stufe und erhalte alles, was das Tool hat.

• Consent-Gate — Exploit-Generierung und Verifikation erfordern --acknowledge-consent; --detection-only ist harmlos und nicht.
• Standardmäßig sicher — Verifikation löst nur wirkungsarme Nachweise aus; Reverse Shells, Download-Execute, Credential-Zugriff, laterale Bewegung, Container Escape, Cloud-Metadata- und OOB-Nutzlasten werden zurückgehalten, bis du --verify-active-risk erhöhst. Destruktive Nutzlasten (Persistenz, Backdoors) werden niemals ohne --verify-allow-destructive ausgelöst. Ein Ausführungsplan gibt exakt aus, was gesendet wird, bevor irgendetwas ausgelöst wird.
• Sicherheitsstufen — safe / intrusive / stateful. Korpus-Nutzlasten werden durch --max-safety gefiltert; Erkennungsmethoden und ihre Probe-Formen deklarieren dieselben Sprossen und werden durch --verify-active-risk gefiltert, sodass eine Methode, die das Ziel dazu bringt, nach außen zu reichen oder etwas zurückzulassen, derselben Ordnung unterliegt wie jede Korpus-Nutzlast. Der Pre-Flight benennt die Stufe, die jedes zurückgehaltene Element tatsächlich benötigt. file und write werden stattdessen durch ihre eigene Konfiguration gesteuert: keines von beiden tut etwas, bis du ein Verzeichnis zum Hineinschreiben und eine URL zum Zurücklesen benennst.
• Audit & Logging — jeder Exploit-/Verifikationslauf wird in exploit_audit.log aufgezeichnet; --watermark bettet ein nachverfolgbares Token ein; Ausführungslogs gehen an rcekit.log.
• Korpus-Integrität — ein Korpus, der beschädigt ist, oder eine explizite --template-file, die fehlt, bringt RCEKit dazu, den Lauf zu verweigern und mit einem Nicht-Null-Wert zu beenden, statt stillschweigend nichts zu generieren (--doctor prüft es). Nur eine fehlende Standard-Korpusdatei fällt auf die eingebaute Kopie zurück, und es sagt es, wenn es das tut.

Dieses Toolkit ist nur für autorisiertes Penetrationstesting, Sicherheitsforschung, Ausbildung und defensives Training gedacht. Verwende es niemals gegen Systeme ohne ausdrückliche Erlaubnis — unbefugtes Testen ist illegal.

Entwicklung```bash

python -m unittest discover -s tests # dependency-free test suite

Die Testsuite schlägt fehl, wenn die beiden jemals voneinander abweichen. Siehe CONTRIBUTING.md.

Lizenz

MIT — siehe LICENSE.