FDsploit

Herramienta de fuzzing, enumeración y explotación de inclusión de archivos y directory traversal.

Menú de FDsploit:

$ python fdsploit.py -h

     _____ ____          _     _ _
    |   __|    \ ___ ___| |___|_| |_
    |   __|  |  |_ -| . | | . | |  _|
    |__|  |____/|___|  _|_|___|_|_|
                    |_|...ver. 1.2
                          Author: Christoforos Petrou (game0ver) !

usage: fdsploit.py [-u  | -f ] [-h] [-p] [-d] [-e {0,1,2}] [-t] [-b] [-x] [-c]
                   [-v] [--params  [...]] [-k] [-a] [--cmd]
                   [--lfishell {None,simple,expect,input}]

FDsploit.py: Automatic (L|R)FI & directory traversal enumeration & exploitation.

Required (one of the following):
  -u , --url            Specify a url or
  -f , --file           Specify a file containing urls

Optional:
  -h, --help            Show this help message and exit
  -p , --payload        Specify a payload-file to look for [default None]
  -d , --depth          Specify max depth for payload [default 5]
  -e {0,1,2}, --urlencode {0,1,2}
                        Url-encode the payload [default: False]
  -t , --tchar          Use a termination character ('%00' or '?') [default None]
  -b, --b64             Use base64 encoding [default False]
  -x , --proxy          Specify a proxy to use [form: host:port]
  -c , --cookie         Specify a session-cookie to use [default None]
  -v , --verb           Specify request type ('GET' or 'POST') [default GET]
  --params  [ ...]      Specify POST parameters to use (applied only with POST requests)
                        Form: param1:value1,param2:value2,...
  -k , --keyword        Search for a certain keyword(s) on the response [default: None]
  -a, --useragent       Use a random user-agent [default user-agent: FDsploit_1.2_agent]
  --cmd                 Test for command execution through PHP functions [default command: None]
  --lfishell {None,simple,expect,input}
                        LFI pseudoshell [default None]

[!] For More Details please read the README.md file!

FDsploit se puede usar para descubrir y explotar automáticamente vulnerabilidades de inclusión de archivos local/remota y directory traversal. En caso de que se encuentre una vulnerabilidad LFI, se puede usar la opción --lfishell para explotarla. Por ahora, se admiten 3 tipos diferentes de shells LFI:

• simple: Este tipo de shell permite al usuario leer archivos fácilmente sin tener que escribir la URL cada vez. Además, solo proporciona la salida del archivo y no todo el código fuente HTML de la página, lo que lo hace muy útil.
• expect: Este tipo de shell es un shell semi-interactivo que permite al usuario ejecutar comandos a través del wrapper expect:// de PHP.
• input: Este tipo de shell es un shell semi-interactivo que también permite al usuario ejecutar comandos a través del flujo php://input de PHP.

Hasta ahora, solo hay dos comandos integrados del shell LFI:

• clear y
• exit.

Características

• La interfaz del shell LFI proporciona solo la salida del archivo leído o el comando ejecutado y no todo el código HTML.
• Se pueden especificar 3 tipos diferentes de shells LFI.
• Se admiten solicitudes GET y POST.
• Detección automática de parámetros GET.
• Se pueden especificar ciertos parámetros para probar usando comodines (*).
• Se pueden especificar y usar cookies de sesión opcionales.
• Se puede realizar una comprobación automática de RCE utilizando funciones PHP.
• Se utiliza un hash sha-256 adicional para identificar las posibles vulnerabilidades.
• Soporte para codificación base64/url.

Algunos ejemplos

1. Descubrimiento de vulnerabilidad de directory traversal:

Del resultado a continuación, parece que el parámetro directory es probablemente vulnerable a directory traversal, ya que cada solicitud con ../ como payload produce un hash sha-256 diferente. Además, el content-length es diferente para cada solicitud:

./fdsploit.py -u 'http://127.0.0.1:8888/test/bWAPP/bWAPP/directory_traversal_2.php?directory=documents' -c 'PHPSESSID=7acf1c5311fee614d0eb40d7f3473087; security_level=0' -d 8

2. Descubrimiento de vulnerabilidad LFI:

Nuevamente, el parámetro language parece vulnerable a LFI ya que usando ../etc/passwd etc... como payload, cada solicitud marcada en verde produce un hash diferente, un content-length diferente del inicial, y la palabra clave especificada se encuentra en la respuesta:

./fdsploit.py -u 'http://127.0.0.1:8888/test/bWAPP/bWAPP/rlfi.php?language=*&action=go' -c 'PHPSESSID=7acf1c5311fee614d0eb40d7f3473087; security_level=0' -d 7 -k root -p /etc/passwd

3. Explotación de LFI usando shell simple:

Explotando el LFI anterior usando el shell simple:

Notas

1. Cuando se usa el verbo POST, también se debe especificar la opción --params.
2. Para probar la vulnerabilidad de Directory Traversal, la opción --payload debe dejarse en su valor predeterminado (None).
3. Cuando se usa la opción --file para probar múltiples URLs, solo se admite la solicitud GET.
4. Cuando se establecen ambas opciones --file y --cookie, dado que solo se puede especificar una cookie a la vez, las URLs deben referirse al mismo dominio o ser accesibles sin cookie (esto se solucionará en una actualización futura).
5. El shell input no es compatible con el verbo POST.

Requisitos:

Nota: Para instalar los requisitos:

pip install -r requirements.txt --upgrade --user

💡 FDsploit también viene preinstalado con BlackArch Linux distribution.

TODO

• Corregir la nota 4 de arriba y hacer que --file funcione también con parámetros POST y cookies, probablemente usando un archivo json etc... como entrada.
• Agregar más comandos integrados a --lfishell, por ejemplo, history etc...

Contribuciones y comentarios

Los comentarios y las contribuciones son bienvenidos. Si encuentra algún error o tiene una solicitud de función, no dude en abrir un issue, y tan pronto como lo revise, ¡intentaré solucionarlo!

Descargo de responsabilidad

Esta herramienta es solo para fines de prueba y académicos, y solo se puede usar donde se haya dado un consentimiento estricto. ¡No la use para fines ilegales! Es responsabilidad del usuario final cumplir con todas las leyes locales, estatales y federales aplicables. Los desarrolladores no asumen ninguna responsabilidad y no se hacen responsables de ningún uso indebido o daño causado por esta herramienta y el software en general.

Créditos

• El logotipo de FDsploit está hecho con fontmeme.com!

Licencia

Este proyecto está licenciado bajo la Licencia GPLv3 - consulte el archivo LICENSE para obtener más detalles.