Superset_auth_bypass_check

Outil de détection de contournement d'authentification Apache-Superset (CVE-2023-27524)

Date de correction : 2023.8.3

• Correction de l'échec de session dû à l'expiration du temps de session codé en dur, en utilisant l'outil flask_session_cookie_manager pour générer une session en temps réel pour la détection.
• Correction du bug où, en raison de la non-désactivation des redirections, la navigation vers /login/ correspondait au code d'état 200.

Remerciements au collègue nplookges pour ses retours.

Environnement de développement : python3

Pour éviter les échecs d'exécution dus au nommage de l'environnement Python, vous pouvez modifier le programme d'exécution Python en python3 et l'ajouter aux variables d'environnement.

Mode d'emploi (prend en charge la détection individuelle et par lots) :
// l'URL a été traitée pour la conformité, prend en charge la saisie au format ip, ip:port

Détection individuelle : python3 superset_auth_bypass_check.py -u

Exemple : python3 superset_auth_bypass_check.py -u http://192.168.1.1/

Détection par lots : python3 superset_auth_bypass_check.py -f

Exemple : python3 superset_auth_bypass_check.py -f url.txt

Captures d'écran de démonstration :

Détection individuelle :

Détection par lots :

Avertissement

Cet outil est destiné uniquement à des fins éducatives et de recherche, afin d'améliorer la sensibilisation à la sécurité et les pratiques de développement logiciel. Avant d'utiliser cet outil, assurez-vous de respecter les lois, réglementations et normes éthiques en vigueur. Après utilisation, veuillez supprimer cet outil. L'utilisateur est seul responsable de toute activité illégale, telle que des attaques non autorisées, résultant de l'utilisation de cet outil ; l'auteur décline toute responsabilité.