Cet outil est destiné strictement à des fins éducatives et de tests d'intrusion autorisés. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par ce logiciel. Assurez-vous toujours d'avoir une autorisation écrite explicite avant d'effectuer des tests sur un système.

🔎 Détails de la vulnérabilité (CVE-2025-47812)

Cette vulnérabilité a été découverte et documentée en détail par Julien (@MrTuxracer). Voir le rapport original :
What the NULL?! Wing FTP Server RCE (CVE-2025-47812)

La vulnérabilité CVE-2025-47812 est un problème critique découlant de plusieurs faiblesses dans la gestion de l'authentification et des sessions utilisateur par Wing FTP Server :

1. Troncature par octet NULL dans c_CheckUser() : La fonction c_CheckUser(), responsable de l'authentification, utilise en interne strlen() sur le nom d'utilisateur fourni. Lorsqu'un octet NULL (%00) est injecté dans le nom d'utilisateur (par ex. anonymous%00...), strlen() tronque la chaîne à cet endroit. Cela signifie que l'authentification réussit pour la partie du nom d'utilisateur avant l'octet NULL, contournant ainsi efficacement la validation.
2. Nom d'utilisateur complet dans la création de session : Malgré la troncature de l'authentification, l'appel rawset(_SESSION, "username", username) dans loginok.html utilise le nom d'utilisateur entier et non assaini directement des paramètres GET ou POST. Cela inclut l'octet NULL et tous les caractères suivants.
3. Injection de code Lua : Comme les fichiers de session sont stockés sous forme de scripts Lua, l'injection de code Lua après l'octet NULL dans le nom d'utilisateur (par ex. anonymous%00]]%0dlocal+h+%3d+io.popen("id")%0dlocal+r+%3d+h%3aread("*a")%0dh%3aclose()%0dprint(r)%0d--) entraîne l'écriture de ce code malveillant directement dans le fichier de session.
4. Exécution du fichier de session : La fonction SessionModule.load(), invoquée lors de l'accès à toute fonctionnalité authentifiée (telle que /dir.html), exécute directement le fichier de session en utilisant loadfile(filepath) suivi de f(). Cette étape cruciale déclenche le code Lua injecté, conduisant à une exécution de code à distance.

Cette vulnérabilité est particulièrement grave car Wing FTP Server s'exécute souvent avec les privilèges root sur Linux ou les privilèges SYSTEM sur Windows par défaut. Cette configuration par défaut confère aux attaquants un contrôle maximal sur le système compromis après une exploitation réussie.

Versions affectées : Les versions de Wing FTP Server antérieures à 7.4.4 sont vulnérables.

🛠️ Options d'utilisation

Ce script prend en charge plusieurs arguments en ligne de commande pour personnaliser son fonctionnement.