CVE-2024-23334-PoC

Ce dépôt est une preuve de concept (POC) pour CVE-2024-23334, démontrant une tentative de reproduction du bogue dans aiohttp qui conduit à une inclusion de fichier local (LFI).

[!CAUTION] Avertissement : Cette POC est uniquement à des fins éducatives. NE PAS l'utiliser dans des scénarios réels.

Installation

1. Clonez le dépôt et configurez l'environnement.

git clone https://github.com/Betan423/CVE-2024-23334-PoC
cd CVE-2024-23334-PoC
# exécuter dans un environnement virtuel
python3 -m venv .env
chmod +x ./.env/bin/activate
source ./.env/bin/activate
pip3 install -r requirements.txt

2. Hébergez le serveur

python server.py

3. Exécutez le script

bash exploit.sh

ou

python3 exploit.py -s http://localhost:8081

Félicitations ! Vous avez reproduit avec succès CVE-2024-23334.

Vous pouvez créer un lien symbolique dans le dossier static pour tester follow_symlinks :

1. Créez le lien symbolique pour test.txt dans le dossier static :
   Vous devez d'abord créer un fichier test.txt sur votre bureau.

cd static
ln -s ~/Desktop/test.txt test

2. Consultez le fichier test.txt : Allez sur http://localhost:8081/static/test, vous devriez pouvoir voir le contenu de test.txt.

Référence

CVE-2024-23334
jhonnybonny/CVE-2024-23334
z3rObyte/CVE-2024-23334-PoC