RCEKit

confirmed signifie que la cible a exécuté l'entrée. negative signifie que les sondes l'ont atteinte.

Version 2.40.0 · MIT · Python 3.8+ · aucune dépendance tierce

RCEKit est une boîte à outils de détection et de confirmation de RCE pour les tests d'intrusion autorisés, le red teaming et la recherche en sécurité. Pointez-le vers une cible que vous êtes autorisé à tester — une URL ou une requête HTTP capturée — et chaque résultat revient avec le niveau qu'il a mérité.

Chaque confirmed repose sur une valeur que RCEKit a générée aléatoirement pour cette sonde et que cette réflexion ne peut pas produire : un résultat calculé présent dans la réponse et absent d'un contrôle sans payload, ou un callback hors bande portant un jeton que seule la cible a jamais détenu. Les signaux plus faibles conservent leurs propres niveaux et ne sont jamais promus dans celui-ci. Et une exécution qui n'a pas pu tester quelque chose ne le rapporte jamais comme propre.

Des preuves, pas du « peut-être »

RCEKit confirme le RCE via plusieurs méthodes sous une seule CLI. Ci-dessous, il est pointé vers des CVE réelles et publiquement documentées dans des logiciels de production — chaque verdict étant différencié par rapport à un contrôle sans payload :

Ce que chaque option ouvre : | | | |---|---| | `--auto-params all` | chaque valeur de requête, feuille JSON, champ de formulaire, partie multipart, cookie et en-tête, au lieu d'un seul champ nommé | | `--point-order thorough` | chaque en-tête non hop-by-hop, pas seulement ceux à fort rendement | | `--methods ...,lookup,deser` | les sinks d'expression-lookup et de désérialisation, que les méthodes en forme de shell ne peuvent pas atteindre | | `--oob-host` | un hôte de callback pour les méthodes aveugles. Nécessite un domaine qui vous est délégué ; le port 53 nécessite root | | `--verify-active-risk stateful` | le barreau le plus élevé — ajoute les formes de sonde qui font que la cible récupère depuis une adresse que RCEKit n'a pas choisie | | `--probe-depth full` | chaque forme de break-out par sink, pas seulement les moins coûteuses | | `--detect-json` | les mêmes verdicts en JSON lisible par machine | **Cela représente beaucoup de requêtes.** La ligne de coût s'affiche avant que quoi que ce soit ne se déclenche, et `--max-points` / `--max-payloads` la bornent. Exécutez-le contre une instance que vous êtes autorisé à casser : `--verify-active-risk stateful` est le niveau pour une cible jetable, pas pour la production. Aucune infrastructure externe, aucun fichier de configuration. **Ne prenez pas les GIFs pour argent comptant** — [reproduisez-les vous-même](https://github.com/kabiri-labs/rcekit/blob/main/docs/verify-it-yourself.md) contre des cibles Webmin et Struts2 dockerisées en environ cinq minutes. **Ensuite :** le [**guide de terrain**](https://github.com/kabiri-labs/rcekit/blob/main/docs/guide.md) parcourt les situations réelles — requêtes capturées, WAFs, séparateurs filtrés, sinks entre guillemets, cibles aveugles et sans egress — un exemple travaillé pour chacune. --- ## Ce que signifie un verdict Trouver un *candidat* RCE est facile. Rapporter un candidat qui survit au retest de quelqu'un d'autre est la partie difficile, et cela échoue dans deux directions : un « possiblement vulnérable » qui s'avère être une réflexion, et un « non vulnérable » issu d'une exécution qui n'a en réalité rien testé. RCEKit répond avec **huit verdicts qui ne sont jamais fusionnés les uns dans les autres** : | Verdict | Ce qu'il affirme | |---|---| | **`confirmed`** | La cible a exécuté l'entrée. Elle a renvoyé une valeur qu'elle ne pouvait pas produire autrement — calculée à partir d'opérandes aléatoires propres à cette sonde — et cette valeur est absente d'un contrôle sans payload. | | **`deserialization-sink`** | La cible a reconstruit un graphe d'objets fourni par l'attaquant. Prouvé, mais concernant une *propriété différente* : atteindre l'RCE depuis là dépend de gadgets du classpath, donc cela n'est jamais appelé RCE. | | **`lookup-sink`** | La cible a résolu un URI que RCEKit lui a fourni — une expression `${jndi:…}` a atteint un lookup, prouvé sur un callback portant un jeton que seule cette sonde détenait. C'est un sink, pas une exécution : atteindre l'RCE depuis là nécessite un serveur répondant avec une classe chargeable. | | **`needs-review`** | Un signal réel qui n'est pas une preuve à lui seul — une régression temporelle linéaire, une empreinte de parseur. Cela vaut votre temps, mais jamais le mot « confirmed ». | | **`inconclusive`** | La preuve est apparue, mais n'a pas pu être attribuée à une exécution — le contrôle sans payload la portait aussi. | | **`negative`** | Des sondes ont été construites, ont atteint la cible, et n'ont rien trouvé. | | **`error`** | Rien n'a atteint la cible. | | **`nothing-tested`** | Aucune sonde n'a été construite du tout. | Dès que `confirmed` et `maybe` se confondent, `confirmed` ne signifie plus rien — donc rien n'est jamais promu vers le haut. Une régression temporelle reste `needs-review` quelle que soit la propreté de la pente. Un callback de désérialisation reste `deserialization-sink` quelle que soit votre certitude que le classpath est exploitable. ### L'autre moitié : une exécution qui n'a rien testé n'est jamais propre Les deux dernières lignes sont celles que les autres outils n'ont pas, et elles comptent plus qu'elles n'en ont l'air. Un scanner qui n'a pas pu atteindre la cible, ou qui n'a construit aucune sonde parce que vos options les excluaient toutes, n'a **rien** appris sur la cible — et afficher `negative` dans ce cas est un mensonge qui se lit exactement comme une absence de danger. Donc `error` et `nothing-tested` sont des verdicts de premier ordre, l'exécution se termine avec un code non nul, et RCEKit indique lequel des deux s'est produit et pourquoi :``` [!] No probes were built, so NOTHING WAS TESTED — this is not a negative result. [!] None of the selected methods (reflected, file) apply to environment(s): sql.

Injection de commande OS (basée sur les résultats)	`reflected`	Webmin 1.910 — CVE-2019-15107	`confirmed`
Injection d'expression (OGNL)	`eval`	Apache Struts2 — S2-001	`confirmed`
Recherche d'expression (Log4Shell/JNDI)	`lookup`	Apache Solr 8.11.0 (Log4j 2.14.1) — CVE-2021-44228	`lookup-sink`
Injection de commande aveugle (sans sortie)	`time`	Webmin 1.910 — CVE-2019-15107	`needs-review`

Variable	Description	Valeur par défaut
`MCP_SERVER_HOST`	Nom d'hôte du serveur	`localhost`
`MCP_SERVER_PORT`	Port du serveur	`8080`
`MCP_AUTH_TOKEN`	Jeton d'authentification	-
`MCP_LOG_LEVEL`	Niveau de journalisation	`info`
`MCP_TIMEOUT`	Délai d'expiration de la requête	`30`
`MCP_MAX_CONNECTIONS`	Nombre maximal de connexions	`100`

Paramètre	Type	Requis	Description
`path`	string	Oui	Chemin d'accès au fichier
`encoding`	string	Non	Encodage du fichier (par défaut : utf-8)
`max_size`	integer	Non	Taille maximale du fichier en octets

Paramètre	Type	Requis	Description
`path`	string	Oui	Chemin d'accès au fichier
`content`	string	Oui	Contenu à écrire
`mode`	string	Non	Mode d'écriture (write, append)
`encoding`	string	Non	Encodage du fichier (par défaut : utf-8)

Paramètre	Type	Requis	Description
`url`	string	Oui	URL de la requête
`method`	string	Non	Méthode HTTP (GET, POST, PUT, DELETE)
`headers`	object	Non	En-têtes de la requête
`body`	string	Non	Corps de la requête
`timeout`	integer	Non	Délai d'expiration en secondes

Paramètre	Type	Requis	Description
`command`	string	Oui	Commande à exécuter
`timeout`	integer	Non	Délai d'expiration en secondes
`cwd`	string	Non	Répertoire de travail

Commande	Description
`help`	Afficher le message d'aide
`tools`	Lister les outils disponibles
`resources`	Lister les ressources disponibles
`prompts`	Lister les invites disponibles
`call <tool> <json>`	Appeler un outil avec des arguments JSON
`read <uri>`	Lire une ressource
`prompt <name> <json>`	Obtenir une invite avec des arguments
`clear`	Effacer l'écran
`exit` ou `quit`	Quitter le client

Classe RCE	`--methods`	Comment RCEKit le prouve
Injection de commande OS	`reflected`	Fait calculer au shell `$((a+b))` sur des opérandes aléatoires et réduit `$(echo TAG)` ; confirme le résultat, jamais l'expression littérale. Écrit dans le dialecte propre au sink — POSIX, `cmd.exe` ou PowerShell.
Injection de code / d'expression — SSTI, SpEL, OGNL, Groovy, `eval()` (CWE-94)	`eval`	Injecte `ab` dans chaque syntaxe de template courante (`${…}` `{{…}}` `#{…}` `%{…}` `<%=…%>` `@(…)`, nue) ; confirme que le produit* apparaît tandis que le littéral `a*b` n'apparaît pas.
Injection de commande aveugle (sans sortie)	`time`	Déclenche une série de délais contrôlée `0/N/2N` et confirme que le temps de réponse suit le délai linéairement ; rapporté `needs-review` — la gigue ne peut pas le simuler, mais le timing n'est pas une valeur calculée.
Cibles internes / sans sortie réseau	`file`	Écrit un jeton aléatoire et le récupère via n'importe quel chemin de relecture — une racine web, un paramètre LFI, un gestionnaire de téléchargement ou d'export, un aperçu adossé à `/tmp`. Prouve l'exécution plus une primitive d'écriture, sans listener externe.
Primitive d'upload / d'écriture — PUT-a-JSP, upload non vérifié (CWE-434)	`write`	Écrit un one-liner qui calcule un produit via votre propre requête d'upload, puis récupère le fichier : le produit est un RCE `confirmed`, la source qui revient verbatim est `needs-review` — écriture de fichier arbitraire, servie mais non interprétée.
Sinks de désérialisation — fastjson, shiro, weblogic (CWE-502)	`deser`	Prouve que le point de terminaison désérialise des données de l'attaquant, via un gadget DNS non exécutant ou un différentiel de forme d'erreur. Rapporté comme , comme RCE.

Peut confirmer	RCEKit	commix	SSTImap	Nuclei
Injection de commande OS	✅	✅ (tout son périmètre)	—	par template
Injection d'expression / SSTI	✅	via sa technique basée sur eval	✅ (tout son périmètre)	par template
Aveugle — timing	✅ comme niveau séparé	✅	✅	—
Aveugle — hors bande	✅ listener intégré	—	—	via interactsh
Sans sortie réseau — écrire & récupérer	✅ n'importe quel chemin de relecture	✅ (racine web)	—	—
Sinks `cmd.exe` et PowerShell	✅ sondes par dialecte	✅ (cmd)	—	par template
Upload → écrire-puis-exécuter	✅ écriture vs. exécution, niveaux séparés	—	—	par template
Second ordre — atterrit ici, s'exécute là	✅	—	—	—
Pont de langage de requête vers l'OS	✅	—	—	par template
Sink de désérialisation	✅ niveau propre, jamais appelé RCE	—	—	par template
Tout ce qui précède, une CLI, une exécution	✅	—	—	—


Portail de consentement	Rien d'exploitant ne se génère ni ne se déclenche sans `--acknowledge-consent`.
Plan d'exécution	Affiche le nombre exact de sondes, les formes de sinks, les niveaux de sûreté et toute destination de callback sortante avant que la première requête ne parte.
Sûr par défaut	Les reverse shells, l'accès aux identifiants, les métadonnées cloud, le mouvement latéral et l'évasion de conteneur sont retenus jusqu'à ce que vous leviez `--verify-active-risk` ; la persistance et les backdoors nécessitent un second flag en plus. Les ponts qui créent un objet sur la cible sont soumis au même plafond.
Commandes de nettoyage	`file`, `write` et les ponts à état modifient l'état de la cible, donc chaque découverte — y compris un `needs-review` — affiche quoi exécuter pour l'annuler.
Les identifiants restent en place	La récupération en lecture de `file` ne transporte les en-têtes `Authorization`/`Cookie` de l'exécution que vers la même origine, et le dit à voix haute lorsqu'il les retient. La récupération du canal observé n'en envoie aucun, sauf si vous lui fournissez une requête avec `--observe-request`.
Piste d'audit expurgée	Chaque exécution atterrit dans `exploit_audit.log`, enregistrant qu'un en-tête d'identifiant a été envoyé, jamais sa valeur.
Filigrane	`--watermark` appose un jeton traçable dans chaque payload, afin qu'un payload retrouvé dans les logs du client des mois plus tard soit attribuable à votre exécution.
Aucun callback tiers	L'écouteur OOB est le vôtre. Rien ne passe par un serveur d'interaction public, ce que certains engagements interdisent purement et simplement.
Un seul fichier stdlib	`rcekit.py` s'exécute seul — jump box, hôte air-gapped, partout où `pip install` n'est pas une option.

Situation	Aller à
J'ai une URL et un paramètre	Pointer vers une URL
J'ai une requête sauvegardée depuis Burp	Pointer vers une requête capturée
L'app est en JSON / le payload ne cesse d'être altéré	Faire atterrir le payload intact
Je ne sais pas de quelle classe il s'agit	Choisir les méthodes
Le sink supprime `;`	Quand le sink filtre les séparateurs
Mon entrée atterrit à l'intérieur de `'quotes'`	Injecter à l'intérieur de quotes
Le sink exécute mon entrée comme la commande entière	Sinks à commande entière
La cible est Windows ou le sink est PowerShell	Sinks Windows et PowerShell
Il y a un WAF	Contourner un WAF
Aucune sortie ne revient du tout	Cibles aveugles
Aucune sortie et aucune sortie réseau	Cibles sans sortie réseau
La requête stocke un fichier au lieu d'exécuter quoi que ce soit	Cibles à upload et primitive d'écriture


Vérifiez-le vous-même	Reproduisez les confirmations ci-dessus sur votre propre machine, contre des cibles vulnérables dockerisées. Cinq minutes.
Guide de terrain	Parcours guidé par l'exemple de chaque situation réelle, de la première sonde aux chaînes multi-étapes. Commencez ici.
Génération de payloads & exports	RCEKit comme générateur de payloads : profils de cibles, et exports Burp / ffuf / Nuclei.
Référence	Chaque flag, environnement, catégorie, contexte, encodage et sink d'exécution de code.
CHANGELOG.md	Ce qui a changé à chaque version, et ce qu'il faut revérifier lors d'une mise à niveau.
CONTRIBUTING.md	Comment ajouter des sinks, catégories, encodages et méthodes de détection.
SECURITY.md	Signaler une vulnérabilité dans RCEKit lui-même.

rcekit

Populaires

RCEKit

Des preuves, pas du « peut-être »

Démarrage rapide

Exemples

Configuration

Fichier de configuration

Variables d'environnement

Outils disponibles

file_read

file_write

http_request

shell_exec

Sécurité

Authentification

Liste blanche des chemins

Limitation de débit

Développement

Prérequis

Configuration

Exécution des tests

Construction

Contribution

Licence

Remerciements

Support

Exemples

Commandes interactives

Exemples d'utilisation interactive

Architecture

Composants

Développement

Configuration de l'environnement de développement

Exécution des tests

Style de code

Dépannage

Problèmes de connexion

Erreurs de certificat TLS

Mode verbeux

Contribution

Directives de contribution

Licence

Remerciements

Support

Ce qu'il confirme

Comment RCEKit se compare

1. Un point d'injection, toutes les classes, une seule exécution

Command injection, expression injection and blind timing against the same

parameter, in one pass, with zero infrastructure

3. Il est conçu pour un engagement autorisé, pas pour un labo

Quand se tourner vers autre chose

Trouvez votre situation

Documentation

Sécurité & éthique

Développement```bash

Licence