plex2shell_pcap

plex2shell शोषण के लिए pcap आर्टिफ़ैक्ट्स

17 अक्टूबर, 2026 तक, इसका वास्तविक दुनिया में शोषण किया जा रहा है, लेकिन जिन pcaps के नाम में "lab" है वे लैब परीक्षण से हैं!!

वास्तविक दुनिया में शोषण के संबंध में: https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

जानकारी: https://zmain.info/blog/plex2shell

संबंधित CVE:

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

शोषण/POC: https://github.com/code-zm/plex2shell

लक्ष्य: Docker इमेज: linuxserver/plex:1.42.2 10.98.178.40

हमलावर: 10.98.178.28

लक्ष्य docker-compose.yml:

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcaps:

• plex2shell_lab_filtered.pcap - इंटरैक्टिव रिवर्स शेल
• plex2shell_lab_one_shot_filtered.pcap - एक बार में id और hostname, मुझे लगता है
• plex2shell_lab_one_shot_2_filtered.pcap - एक बार में id, hostname, और cat passwd, अगर मुझे ठीक से याद है

मुझे नहीं लगता कि डिटेक्शन के हिस्से के लिए --exec या इंटरैक्टिव होना ज़्यादा मायने रखता है।

शोषण कोड से, इन पोर्ट्स और डोमेन का उपयोग हमेशा बदला जा सकता है (साथ ही कई अन्य चीज़ें जैसे फ़ाइल नाम आदि भी स्पष्ट रूप से...):

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

स्क्रीनशॉट:

प्रोसेस ट्री (इंटरैक्टिव रिवर्स शेल के माध्यम से sleep चलाते हुए मेरा)

wireshark से स्क्रीनशॉट: