CVE-2025-49132 - Pterodactyl Panel कॉन्फ़िगरेशन जानकारी स्कैनिंग टूल

यह टूल Pterodactyl पैनल इंस्टेंस को स्कैन करने के लिए उपयोग किया जाता है, जो उनकी डेटाबेस कॉन्फ़िगरेशन जानकारी प्राप्त करने का प्रयास करता है। विशिष्ट पथ ट्रैवर्सल भेद्यता का शोषण करके, पैनल का संवेदनशील कॉन्फ़िगरेशन डेटा प्राप्त किया जा सकता है।

परियोजना अवलोकन

यह परियोजना एक उच्च-प्रदर्शन HTTP अनुरोध टूल है, जो विशेष रूप से सार्वजनिक इंटरनेट पर उजागर Pterodactyl पैनल इंस्टेंस की कॉन्फ़िगरेशन जानकारी का पता लगाने और एकत्र करने के लिए समर्पित है। यह लक्ष्य सर्वर को विशिष्ट अनुरोध भेजकर जाँचता है कि प्रतिक्रिया में डेटाबेस कॉन्फ़िगरेशन जानकारी शामिल है या नहीं, और परिणामों को वर्गीकृत करके सहेजता है।

विशेषताएँ

मुख्य विशेषताएँ

• बहु-मोड निष्पादन: सिंगल-थ्रेड, मल्टी-थ्रेड और एसिंक्रोनस तीन निष्पादन मोड का समर्थन
• स्मार्ट वर्गीकरण: परिणामों को स्वचालित रूप से "सही" (लक्ष्य डेटा शामिल) और "गलत" (लक्ष्य डेटा शामिल नहीं या अनुरोध विफल) दो श्रेणियों में विभाजित करता है
• स्वचालित सहेजना: परिणाम प्रकार के अनुसार स्वचालित रूप से विभिन्न निर्देशिकाओं में सहेजता है
• प्रदर्शन निगरानी: वास्तविक समय में निष्पादन प्रगति और सांख्यिकीय जानकारी प्रदर्शित करता है
• प्रॉक्सी समर्थन: प्रॉक्सी के माध्यम से अनुरोध भेजने का समर्थन
• त्रुटि पुनः प्रयास: विफल अनुरोधों को स्वचालित रूप से पुनः प्रयास करता है
• परिणाम विश्लेषण: प्रतिक्रिया डेटा में डेटाबेस कॉन्फ़िगरेशन जानकारी का स्वचालित विश्लेषण

तकनीकी विशेषताएँ

• HTTP अनुरोधों के लिए requests लाइब्रेरी का उपयोग
• अतुल्यकालिक अनुरोध समर्थन के लिए aiohttp का उपयोग
• मल्टीथ्रेडिंग प्रोसेसिंग के लिए ThreadPoolExecutor का उपयोग
• JSON डेटा पार्सिंग और विश्लेषण का समर्थन
• पूर्ण त्रुटि प्रबंधन तंत्र

निर्देशिका संरचना

.
├── main.py              # 主程序文件
├── url.txt              # 目标主机列表文件
├── json/                # 输出目录
│   ├── ✔️正确/           # 包含目标数据的结果保存目录
│   └── ❌错误/           # 错误或无效结果保存目录
└── README.md            # 项目说明文档

निर्भरताएँ स्थापित करें

प्रोग्राम चलाने से पहले, आवश्यक Python लाइब्रेरीज़ को स्थापित करना होगा:

pip install requests aiohttp urllib3

उपयोग विधि

मूल उपयोग

python main.py

默认会读取 url.txt 文件中的主机列表，并使用多线程模式进行处理。

命令行参数

python main.py [--file FILE] [--mode MODE] [--workers WORKERS]

参数说明：

• -f, --file: 指定主机列表文件路径（默认: url.txt）
• -m, --mode: 执行模式，可选值: threading(多线程), async(异步), single(单线程)（默认: threading）
• -w, --workers: 工作线程数（默认: 5）

示例

# 使用默认设置
python main.py

# 指定自定义主机文件
python main.py --file hosts.txt

# 使用异步模式处理
python main.py --mode async

# 使用单线程模式
python main.py --mode single

# 设置工作线程数为10
python main.py --workers 10

कॉन्फ़िगरेशन विवरण

main.py फ़ाइल में Config क्लास में निम्नलिखित कॉन्फ़िगरेशन संशोधित किए जा सकते हैं:

• PROXY: प्रॉक्सी सर्वर पता (डिफ़ॉल्ट: http://127.0.0.1:7899)
• TIMEOUT: अनुरोध टाइमआउट समय (डिफ़ॉल्ट: 30 सेकंड)
• MAX_RETRIES: अधिकतम पुनः प्रयास संख्या (डिफ़ॉल्ट: 3 बार)
• MAX_WORKERS: अधिकतम कार्य थ्रेड संख्या (डिफ़ॉल्ट: 5)
• USER_AGENT: अनुरोध User-Agent (डिफ़ॉल्ट: Mozilla/5.0 Windows AppleWebKit/537.36)

कार्य सिद्धांत

1. प्रोग्राम निर्दिष्ट फ़ाइल से होस्ट सूची पढ़ता है
2. प्रत्येक होस्ट को /locales/locale.json पथ पर HTTP GET अनुरोध भेजता है
3. अनुरोध पैरामीटर इस प्रकार सेट किए गए हैं:
   • locale: ../../../pterodactyl
   • namespace: config/database
4. प्रतिक्रिया डेटा का विश्लेषण करता है, जाँचता है कि इसमें डेटाबेस कॉन्फ़िगरेशन जानकारी शामिल है या नहीं
5. परिणाम प्रकार के अनुसार डेटा को संबंधित निर्देशिका में सहेजता है:
   • लक्ष्य डेटा शामिल है: json/✔️正确/
   • लक्ष्य डेटा शामिल नहीं है या अनुरोध विफल: json/❌错误/
6. वास्तविक समय में निष्पादन प्रगति और सांख्यिकीय जानकारी प्रदर्शित करता है

आउटपुट प्रारूप

परिणाम JSON प्रारूप में सहेजे जाते हैं, जिनमें निम्नलिखित जानकारी शामिल होती है:

• success: अनुरोध सफल हुआ या नहीं
• status_code: HTTP स्थिति कोड
• response_time: प्रतिक्रिया समय
• url: वास्तविक अनुरोध URL
• headers: प्रतिक्रिया हेडर जानकारी
• data: प्रतिक्रिया डेटा
• size: प्रतिक्रिया आकार
• contains_target_data: लक्ष्य डेटा शामिल है या नहीं
• database_info: निकाली गई डेटाबेस जानकारी

सावधानियाँ

1. कृपया संबंधित कानूनों और विनियमों का पालन सुनिश्चित करें, इस उपकरण का उपयोग केवल अधिकृत वातावरण में करें
2. उपयोग से पहले कृपया अपने नेटवर्क वातावरण के अनुकूल प्रॉक्सी कॉन्फ़िगरेशन संशोधित करें
3. बड़ी संख्या में अनुरोध लक्ष्य सर्वर पर दबाव डाल सकते हैं, कृपया थ्रेड संख्या उचित रूप से सेट करें
4. सहेजे गए परिणामों में संवेदनशील जानकारी हो सकती है, कृपया उन्हें ठीक से सुरक्षित रखें

सांख्यिकीय जानकारी

प्रोग्राम निष्पादन पूर्ण होने के बाद विस्तृत सांख्यिकीय जानकारी प्रदर्शित करेगा:

• कुल अनुरोध संख्या
• सफल अनुरोध संख्या
• विफल अनुरोध संख्या
• पाई गई लक्ष्य डेटा संख्या
• सफलता दर
• लक्ष्य डेटा खोज दर
• कुल निष्पादन समय
• प्रति सेकंड अनुरोध संख्या