Magento 2 RCE Exploit - बिना प्रमाणीकरण के फ़ाइल अपलोड से RCE

⚠️ यह टूल केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण के लिए है। उन सिस्टमों के विरुद्ध अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं, अवैध है।

यह एक्सप्लॉइट Magento 2 (Adobe Commerce) में एक गंभीर बिना प्रमाणीकरण वाली रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता को लक्षित करता है। GraphQL उत्पाद लुकअप, गेस्ट कार्ट निर्माण, और कस्टम उत्पाद विकल्पों के माध्यम से एक दुर्भावनापूर्ण फ़ाइल अपलोड को श्रृंखलित करके, एक हमलावर PHP वेबशेल अपलोड कर सकता है और लक्षित सर्वर पर मनमाना कोड निष्पादन प्राप्त कर सकता है।

यह भेद्यता एक दूरस्थ हमलावर को सर्वर के फ़ाइल सिस्टम में एक PHP फ़ाइल लिखने की अनुमति देती है, फिर उसे एक्सेस करके सिस्टम कमांड निष्पादित करने, फ़ाइलें पढ़ने/लिखने और Magento इंस्टॉलेशन से पूरी तरह समझौता करने की अनुमति देती है।

Features

• मल्टी-थ्रेडेड स्कैनिंग और शोषण (10 समवर्ती थ्रेड तक)
• GraphQL के माध्यम से उत्पाद SKU का स्वचालित पता लगाना
• गेस्ट कार्ट बनाता है और एक कस्टम विकल्प फ़ाइल के रूप में PHP वेबशेल अपलोड करता है
• एक अद्वितीय मार्कर (Shinday) की जाँच करके शेल तैनाती को सत्यापित करता है
• सफल शेल URL को up.txt में सहेजता है
• क्यू-आधारित कार्यभार वितरण के साथ बड़ी लक्ष्य सूचियों को संभालता है

How It Works

1. GraphQL उत्पाद क्वेरी – /graphql से एक मान्य उत्पाद SKU प्राप्त करता है।
2. गेस्ट कार्ट निर्माण – कार्ट ID प्राप्त करने के लिए /rest/default/V1/guest-carts को कॉल करता है।
3. दुर्भावनापूर्ण फ़ाइल अपलोड – कस्टम विकल्प फ़ाइल के रूप में base64-एन्कोडेड PHP वेबशेल के साथ /rest/default/V1/guest-carts/{cart_id}/items पर एक POST अनुरोध भेजता है।
4. शेल तैनाती – सर्वर फ़ाइल को /pub/media/custom_options/quote/... या /media/custom_options/quote/... के अंतर्गत संग्रहीत करता है।
5. सत्यापन – स्क्रिप्ट अपलोड की गई PHP फ़ाइल को लाने का प्रयास करती है और प्रतिक्रिया में स्ट्रिंग Shinday की जाँच करती है।
6. आउटपुट – सफल शेल URL को up.txt में जोड़ दिया जाता है।

Requirements

• Python 2.7 (स्क्रिप्ट Queue, unicode, और अन्य Python 2-विशिष्ट मॉड्यूल का उपयोग करती है)
• requests, urllib3 लाइब्रेरी

निर्भरताएँ स्थापित करें:

pip install requests urllib3

Usage

python exploit.py <list.txt>

• <list.txt> – फ़ाइल जिसमें लक्षित बेस URL हों (प्रति पंक्ति एक), http:///https:// के साथ या बिना।
  उदाहरण:

  https://example.com
  http://shop.test
  magento2.target.net
  

Output

• कंसोल लॉग प्रगति, SKU, कार्ट ID, अपलोड स्थिति, और सफल होने पर अंतिम शेल URL दिखाते हैं।
• सफल शेल URL वर्तमान निर्देशिका में up.txt में सहेजे जाते हैं।

Example Run

python exploit.py targets.txt
[*] Total targets: 5
[*] Start time: 2025-03-15 12:00:00
[*] Starting 5 threads...

[Thread 1] Processing: https://example.com
[+] SKU  : 24-WG080
[+] CART : 8f7c3e9a-1b2f-4d5e-9a8b-7c6d5e4f3a2b
[+] Upload Status : 200
[+] Webshell terpasang: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php
[✓] Saved to up.txt: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php

Webshell Details

अपलोड की गई PHP फ़ाइल एक साधारण फ़ाइल प्रबंधक है (जिसका नाम xxxxx_shin.php जैसा होता है) जो अनुरोधों का जवाब वेब-आधारित फ़ाइल एक्सप्लोरर के साथ देती है। इसमें अद्वितीय मार्कर Shinday होता है जिसका उपयोग स्क्रिप्ट सफल अपलोड को सत्यापित करने के लिए करती है।

परीक्षण के बाद इस शेल को सिस्टम पर न छोड़ें – तुरंत सफाई करें।

Mitigation

• Adobe/Magento सुरक्षा पैच तुरंत लागू करें।
• यदि आवश्यक न हो तो अप्रयुक्त GraphQL एंडपॉइंट अक्षम करें।
• फ़ाइल अपलोड को केवल प्रमाणित उपयोगकर्ताओं तक सीमित रखें।
• दुर्भावनापूर्ण POST पैटर्न को ब्लॉक करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें।
• अनपेक्षित PHP फ़ाइलों के लिए /media/custom_options/ का नियमित रूप से ऑडिट करें।

Disclaimer

यह सॉफ़्टवेयर केवल शैक्षिक और अधिकृत पैठ परीक्षण उद्देश्यों के लिए प्रदान किया गया है। लेखक इस टूल के कारण होने वाले किसी भी दुरुपयोग या क्षति के लिए ज़िम्मेदार नहीं हैं। किसी भी लक्ष्य के विरुद्ध इस एक्सप्लॉइट को चलाने से पहले आपको सिस्टम स्वामी से स्पष्ट लिखित अनुमति प्राप्त करनी होगी। अधिकांश क्षेत्राधिकारों में कंप्यूटर सिस्टम तक अनधिकृत पहुँच एक आपराधिक अपराध है।

अधिक अस्वीकरण: आप Jenderal92 के कवर पर अस्वीकरण देख सकते हैं। आप इसे यहाँ !!! देख सकते हैं।