CVE-2023-46747 Exploit-Skript

Dieses Skript nutzt die F5 BIG-IP TMUI Sicherheitslücke zur Remotecodeausführung (CVE-2023-46747) aus. Es ermöglicht einem nicht authentifizierten Angreifer, beliebige Befehle auf einem verwundbaren F5 BIG-IP-System auszuführen.

Inhaltsverzeichnis

• Funktionen
• Anforderungen
• Verwendung
• Parameter
• Funktionsweise
• Haftungsausschluss

Funktionen

• Erstellung nicht authentifizierter Benutzer: Erzeugt einen Benutzer auf dem Zielsystem.
• Token-Abruf: Ruft Authentifizierungstoken mit dem erstellten Benutzer ab.
• Remotebefehlsausführung: Führt beliebige Shell-Befehle auf dem Zielsystem aus.

Anforderungen

• Python 3.8+
• Module:
  • argparse
  • binascii
  • json
  • random
  • requests
  • time
  • urllib3

Fehlende Module mit pip installieren:

pip install requests

Verwendung

Befehlszeilenoptionen

python exploit.py -u <target_url> [-t <proxy_url>]

Beispiel

python exploit.py -u https://192.168.1.100:8443 -t http://127.0.0.1:8080

Parameter

-u	(Erforderlich) Ziel-URL des F5 BIG-IP TMUI-Systems.
-t	Proxy-Server (optional), z.B. http://127.0.0.1:8080.

Funktionsweise

1. Anmeldeinformationen generieren: Generiert zufällig einen Benutzernamen und ein Passwort.
2. Benutzererstellung: Versucht, einen neuen Benutzer auf dem Zielsystem mit einer speziell präparierten Anfrage zu erstellen.
3. Token-Abruf: Meldet sich mit dem neuen Benutzer an, um ein Sitzungstoken zu erhalten.
4. Befehlsausführung: Führt beliebige Befehle über das Token aus.

Schlüsselfunktionen

• generatesth(num): Generiert zufällige alphanumerische Zeichenfolgen der Länge num.
• unauth_create_user(target, username, password, proxy): Erstellt einen Benutzer auf dem Zielsystem.
• get_token(target, user, passwd, proxy): Ruft ein Authentifizierungstoken für den erstellten Benutzer ab.
• exec_command(target, token, cmd, proxy): Führt beliebige Befehle auf dem Zielsystem aus.

Haftungsausschluss

This script is intended for educational and research purposes only. Unauthorized use of this script against systems you do not own or have explicit permission to test is illegal and unethical.

!!!!Verantwortungsvoll nutzen!!!!!