Adminer CVE-2021-43008 PoC

Exploit de prueba de concepto para CVE-2021-43008 que afecta a Adminer.

Esta vulnerabilidad permite que un servidor MySQL malicioso solicite archivos locales arbitrarios desde la máquina cliente cuando LOAD DATA LOCAL INFILE está habilitado.

El repositorio contiene herramientas para reproducir el ataque.

Contenido del repositorio

exploit.py
Script de Python que automatiza la interacción con Adminer.

Características:

• se autentica en Adminer
• extrae el token CSRF
• envía consultas SQL
• activa LOAD DATA LOCAL INFILE
• analiza el contenido de los archivos devueltos

setup_mysql_server.sh
Script auxiliar que prepara un servidor MySQL/MariaDB malicioso para la explotación.

El script:

• configura MariaDB para que escuche en un puerto personalizado
• habilita local_infile
• crea una base de datos y un usuario
• prepara el entorno para la explotación

Requisitos

Python 3.x

Librerías: requests beautifulsoup4 lxml

Uso

Ejecute el script de configuración:

sudo ./script.sh <IP> <PORT>

Luego ejecute el exploit:

python exploit.py <adminer_url> <mysql_host> <username> <password> <database> <file_path>