amhar-hckr/webapp_pentastCVE-2022-31147 is a path traversal flaw in matthiasmullie/minify. This guide helps security teams test for arbitrary file read on Linux and Windows using Python and curl. It covers automated payload generation, manual validation, and safe practices for vulnerability assessment.
Ce guide propose des méthodologies complètes pour tester CVE-2022-31147, une vulnérabilité critique de traversée de chemin affectant la bibliothèque matthiasmullie/minify largement utilisée. Cette vulnérabilité permet aux attaquants d'exploiter une insuffisance d'assainissement des entrées dans le point de terminaison minify, ce qui peut permettre des opérations de lecture de fichiers arbitraires sur les serveurs Linux et Windows. Ce guide est conçu pour les professionnels de la sécurité, les testeurs d'intrusion et les chercheurs qui souhaitent évaluer l'exposition des applications web à cette menace.
Le cœur du guide est un script Python automatisé de preuve de concept, qui génère et teste systématiquement un large éventail de charges utiles de traversée. Ces charges utilisent différentes profondeurs de traversée de répertoire (../), plusieurs schémas d'encodage (tels que l'encodage URL et le double encodage) et des variations de point de terminaison (incluant des extensions factices et des paramètres de requête) pour contourner les mécanismes courants de routage et de filtrage. En exploitant ces techniques, le script maximise la probabilité de détecter des configurations vulnérables, même dans des environnements protégés par des pare-feu d'applications web de base ou une logique de routage personnalisée.
La précision de la détection est encore renforcée par des heuristiques intégrées qui analysent le contenu des réponses pour y trouver des marqueurs de fichiers connus. Pour les cibles Linux, le script recherche des motifs typiques de /etc/passwd ou d'autres fichiers sensibles, tandis que pour les systèmes Windows, il recherche des indicateurs dans des fichiers tels que win.ini. Cette approche garantit que l'exploitation réussie est identifiée de manière fiable, minimisant les faux positifs et rationalisant le processus de validation.
En plus des tests automatisés, le guide décrit des techniques de validation manuelle utilisant curl, permettant aux praticiens de créer et d'envoyer des requêtes personnalisées pour une analyse ciblée ou pour vérifier les résultats de manière indépendante. Des recommandations pour des tests sûrs et autorisés sont soulignées tout au long du guide, notamment l'importance de n'effectuer des évaluations que sur des systèmes pour lesquels une autorisation explicite a été accordée.
Le guide est conçu pour prendre en charge à la fois la validation rapide et l'analyse approfondie, en s'adaptant à des fichiers cibles personnalisés et à des stratégies de contournement avancées. Il peut être intégré dans des flux de travail d'évaluation des vulnérabilités plus larges, fournissant des informations exploitables pour la correction et la gestion des risques. En suivant les méthodologies présentées, les équipes de sécurité peuvent identifier, valider et traiter efficacement les expositions liées à CVE-2022-31147 dans leurs environnements, renforçant ainsi la posture de sécurité globale de leurs applications web.
python3 cve-2022-31147_poc.py --base https://yourdomain.tld/cdn/minify --linux --file /etc/passwd
python3 cve-2022-31147_poc.py --base https://yourdomain.tld/cdn/minify --windows --file C:\Windows\win.ini
Créez un fichier inoffensif sur le serveur, puis essayez de le lire :
python3 cve-2022-31147_poc.py --base https://yourdomain.tld/cdn/minify --file /var/www/test.txt
curl -i "https://yourdomain.tld/cdn/minify/../../../../../../etc/passwd"
curl -i "https://yourdomain.tld/cdn/minify/../../../../../../windows/win.ini"
curl -i "https://yourdomain.tld/cdn/minify/%2e%2e/../%2e%2e/../../etc/passwd"
curl -i "https://yourdomain.tld/cdn/minify/../../../../../../etc/passwd.css"
https://yourdomain.tld/cdn/minify par l'URL réelle de votre cible.