RCEKit

confirmed का अर्थ है कि लक्ष्य ने इनपुट को निष्पादित किया। negative का अर्थ है कि प्रोब उस तक पहुँच गए।

संस्करण 2.40.0 · MIT · Python 3.8+ · शून्य तृतीय-पक्ष निर्भरताएँ

RCEKit एक RCE डिटेक्शन और पुष्टि टूलकिट है जो अधिकृत पेनेट्रेशन टेस्टिंग, रेड टीमिंग और सुरक्षा अनुसंधान के लिए है। इसे उस लक्ष्य पर इंगित करें जिसे परीक्षण करने की आपको अनुमति है — एक URL या एक कैप्चर किया गया HTTP अनुरोध — और प्रत्येक निष्कर्ष उस स्तर के साथ वापस आता है जो उसने अर्जित किया है।

प्रत्येक confirmed उस मान पर टिका है जो RCEKit ने उस प्रोब के लिए यादृच्छिक रूप से उत्पन्न किया और जिसे वह प्रतिबिंब उत्पन्न नहीं कर सकता: प्रतिक्रिया में उपस्थित और पेलोड-रहित नियंत्रण में अनुपस्थित एक परिकलित परिणाम, या एक आउट-ऑफ-बैंड कॉलबैक जो एक टोकन ले जाता है जो केवल लक्ष्य के पास ही था। कमज़ोर संकेत अपने स्वयं के स्तर बनाए रखते हैं और कभी भी उसमें पदोन्नत नहीं किए जाते। और जो रन किसी चीज़ का परीक्षण नहीं कर सका, वह उसे कभी स्वच्छ नहीं बताता।

प्रमाण, "शायद" नहीं

RCEKit एक ही CLI के अंतर्गत कई विधियों के माध्यम से RCE की पुष्टि करता है। नीचे इसे उत्पादन सॉफ़्टवेयर में वास्तविक, सार्वजनिक रूप से प्रलेखित CVE पर इंगित किया गया है — प्रत्येक निर्णय पेलोड-रहित नियंत्रण के विरुद्ध अंतरित:

हर फ़्लैग क्या खोलता है: | | | |---|---| | `--auto-params all` | हर query value, JSON leaf, form field, multipart part, cookie और header, किसी एक नामित फ़ील्ड के बजाय | | `--point-order thorough` | हर non-hop-by-hop header, सिर्फ़ high-yield वाले ही नहीं | | `--methods ...,lookup,deser` | expression-lookup और deserialization sinks, जहाँ तक shell-shaped methods पहुँच नहीं सकतीं | | `--oob-host` | blind methods के लिए एक callback host। इसके लिए आपको सौंपा गया domain चाहिए; port 53 के लिए root चाहिए | | `--verify-active-risk stateful` | सबसे ऊँचा स्तर — वे probe shapes जोड़ता है जो target को ऐसे address से fetch करवाते हैं जो RCEKit ने नहीं चुना | | `--probe-depth full` | प्रति sink हर break-out shape, सिर्फ़ सस्ते वाले ही नहीं | | `--detect-json` | वही verdicts machine-readable JSON के रूप में | **यह बहुत सारी requests हैं।** कुछ भी fire होने से पहले cost line print होती है, और `--max-points` / `--max-payloads` इसे सीमित करते हैं। इसे ऐसे instance के खिलाफ़ चलाएँ जिसे तोड़ने की आपको अनुमति है: `--verify-active-risk stateful` एक disposable target का स्तर है, production का नहीं। कोई external infrastructure नहीं, कोई config file नहीं। **GIFs पर भरोसा न करें** — [इन्हें खुद reproduce करें](https://github.com/kabiri-labs/rcekit/blob/main/docs/verify-it-yourself.md) dockerised Webmin और Struts2 targets के खिलाफ़ लगभग पाँच मिनट में। **आगे:** [**field guide**](https://github.com/kabiri-labs/rcekit/blob/main/docs/guide.md) असली स्थितियों पर चलती है — captured requests, WAFs, filtered separators, quoted sinks, blind और no-egress targets — हर एक के लिए एक worked example। --- ## एक verdict का मतलब क्या होता है एक RCE *candidate* ढूँढना आसान है। ऐसा रिपोर्ट करना जो किसी और के retest में टिक जाए, वही मुश्किल हिस्सा है, और यह दो दिशाओं में विफल होता है: एक "possibly vulnerable" जो असल में reflection निकलता है, और एक "not vulnerable" ऐसी run से जिसने असल में कुछ भी test ही नहीं किया। RCEKit **आठ verdicts** के साथ जवाब देता है जिन्हें कभी एक-दूसरे में मिलाया नहीं जाता: | Verdict | यह क्या दावा करता है | |---|---| | **`confirmed`** | Target ने input execute किया। उसने ऐसा मान लौटाया जो वह अन्यथा produce नहीं कर सकता था — उस probe के लिए random operands से computed — और वह मान payload-free control में मौजूद नहीं है। | | **`deserialization-sink`** | Target ने attacker-supplied object graph reconstruct किया। सिद्ध, लेकिन एक *अलग property* के बारे में: वहाँ से RCE तक पहुँचना classpath gadgets पर निर्भर करता है, इसलिए इसे कभी RCE नहीं कहा जाता। | | **`lookup-sink`** | Target ने एक URI resolve किया जो RCEKit ने उसे दिया — एक `${jndi:…}` expression एक lookup तक पहुँचा, जो एक callback पर सिद्ध हुआ जिसमें ऐसा token था जो सिर्फ़ उसी probe के पास था। यह एक sink है, execution नहीं: वहाँ से RCE तक पहुँचने के लिए एक ऐसा server चाहिए जो loadable class के साथ जवाब दे। | | **`needs-review`** | एक असली signal जो अपने आप में proof नहीं है — एक linear timing regression, एक parser fingerprint। आपके समय के लायक, लेकिन "confirmed" शब्द के कभी लायक नहीं। | | **`inconclusive`** | सबूत दिखा, लेकिन execution के लिए attributed नहीं हो सका — payload-free control में भी वही था। | | **`negative`** | Probes बने, target तक पहुँचे, और कुछ नहीं मिला। | | **`error`** | कुछ भी target तक नहीं पहुँचा। | | **`nothing-tested`** | कोई probes बने ही नहीं। | जिस क्षण `confirmed` और `maybe` धुँधले होते हैं, `confirmed` का कोई मतलब नहीं बचता — इसलिए कुछ भी कभी ऊपर promote नहीं किया जाता। एक timing regression `needs-review` ही रहता है चाहे slope कितना भी साफ़ हो। एक deserialization callback `deserialization-sink` ही रहता है चाहे आप कितने भी निश्चित हों कि classpath exploitable है। ### दूसरा आधा हिस्सा: ऐसी run जिसने कुछ test नहीं किया, वह कभी clean नहीं होती आख़िरी दो पंक्तियाँ वे हैं जो दूसरे tools के पास नहीं होतीं, और वे दिखने से ज़्यादा मायने रखती हैं। एक scanner जो target तक पहुँच नहीं सका, या जिसने कोई probes नहीं बनाए क्योंकि आपके flags ने उन सबको बाहर कर दिया, उसने target के बारे में **कुछ नहीं** सीखा — और वहाँ `negative` print करना एक झूठ है जो बिल्कुल safety जैसा पढ़ा जाता है। इसलिए `error` और `nothing-tested` first-class verdicts हैं, run non-zero पर exit करती है, और RCEKit बताता है कि इनमें से कौन-सा हुआ और क्यों:``` [!] No probes were built, so NOTHING WAS TESTED — this is not a negative result. [!] None of the selected methods (reflected, file) apply to environment(s): sql.

RCE वर्ग

--methods

RCEKit इसे कैसे साबित करता है

OS कमांड इंजेक्शन

reflected

रैंडम ऑपरेंड्स पर शेल से $((a+b)) की गणना कराता है और $(echo TAG) को कोलैप्स कराता है; परिणाम की पुष्टि करता है, कभी भी लिटरल एक्सप्रेशन की नहीं। सिंक की अपनी बोली में लिखा गया — POSIX, cmd.exe या PowerShell।

कोड / एक्सप्रेशन इंजेक्शन — SSTI, SpEL, OGNL, Groovy, eval() (CWE-94)

eval

हर सामान्य टेम्पलेट सिंटैक्स (${…} {{…}} #{…} %{…} <%=…%> @(…), बेयर) में a*b इंजेक्ट करता है; पुष्टि करता है कि प्रोडक्ट दिखाई देता है जबकि लिटरल a*b नहीं दिखता।

ब्लाइंड कमांड इंजेक्शन (कोई आउटपुट नहीं)

time

एक नियंत्रित 0/N/2N डिले सीरीज़ फायर करता है और पुष्टि करता है कि रिस्पॉन्स टाइम डिले को रैखिक रूप से ट्रैक करता है; needs-review रिपोर्ट करता है — जिटर इसे फ़ेक नहीं कर सकता, लेकिन टाइमिंग कोई कंप्यूटेड वैल्यू नहीं है।

इंटरनल / नो-एग्रेस टारगेट

file

एक रैंडम टोकन लिखता है और उसे किसी भी रीड-बैक पाथ से वापस फ़ेच करता है — कोई वेब रूट, कोई LFI पैरामीटर, कोई डाउनलोड या एक्सपोर्ट हैंडलर, कोई /tmp-बैक्ड प्रीव्यू। बिना किसी एक्सटर्नल लिसनर के एक्ज़ीक्यूशन प्लस एक राइट प्रिमिटिव साबित करता है।

अपलोड / राइट प्रिमिटिव — PUT-a-JSP, अनचेक्ड अपलोड (CWE-434)

write

एक वन-लाइनर लिखता है जो आपकी अपनी अपलोड रिक्वेस्ट के ज़रिए एक प्रोडक्ट कंप्यूट करता है, फिर फ़ाइल फ़ेच करता है: प्रोडक्ट confirmed RCE है, वर्बेटिम वापस आने वाला सोर्स needs-review है — आर्बिट्ररी फ़ाइल राइट, सर्व की गई लेकिन इंटरप्रेट नहीं की गई।

डीसेरियलाइज़ेशन सिंक — fastjson, shiro, weblogic (CWE-502)

deser

साबित करता है कि एंडपॉइंट अटैकर डेटा को डीसेरियलाइज़ करता है, किसी नॉन-एक्ज़ीक्यूटिंग DNS गैजेट या किसी एरर-शेप डिफरेंशियल के ज़रिए। deserialization-sink के रूप में रिपोर्ट किया जाता है, RCE के रूप में नहीं।

सहमति गेट

--acknowledge-consent के बिना कुछ भी शोषणकारी उत्पन्न या फायर नहीं होता।

निष्पादन योजना

पहला अनुरोध बाहर जाने से पहले सटीक प्रोब गणना, सिंक आकार, सुरक्षा स्तर और किसी भी आउटबाउंड कॉलबैक गंतव्य को प्रिंट करता है।

डिफ़ॉल्ट रूप से सुरक्षित

रिवर्स शेल, क्रेडेंशियल एक्सेस, क्लाउड मेटाडेटा, लेटरल मूवमेंट और कंटेनर एस्केप तब तक रोके जाते हैं जब तक आप --verify-active-risk नहीं बढ़ाते; persistence और backdoors के लिए ऊपर से एक दूसरा फ्लैग चाहिए। जो ब्रिज लक्ष्य पर एक ऑब्जेक्ट बनाते हैं वे भी उसी सीमा तक सीमित हैं।

क्लीनअप कमांड

file, write और स्टेटफुल ब्रिज लक्ष्य स्थिति बदलते हैं, इसलिए हर खोज — needs-review सहित — प्रिंट करती है कि इसे पूर्ववत करने के लिए क्या चलाना है।

क्रेडेंशियल यथावत रहते हैं

file रीड-बैक फ़ेच रन के Authorization/Cookie हेडर केवल समान ओरिजिन तक ले जाता है, और जब वह उन्हें रोकता है तो यह ज़ोर से बताता है। अवलोकित-चैनल फ़ेच तब तक कोई नहीं भेजता जब तक आप उसे --observe-request के साथ कोई अनुरोध न दें।

रिडैक्टेड ऑडिट ट्रेल

हर रन exploit_audit.log में दर्ज होता है, यह रिकॉर्ड करते हुए कि एक क्रेडेंशियल हेडर भेजा गया था, कभी उसका मान नहीं।

वॉटरमार्किंग

--watermark प्रत्येक पेलोड में एक ट्रेस करने योग्य टोकन अंकित करता है, ताकि महीनों बाद क्लाइंट के लॉग में मिला पेलोड आपके रन के लिए जिम्मेदार ठहराया जा सके।

कोई तृतीय-पक्ष कॉलबैक नहीं

OOB लिसनर आपका है। कुछ भी किसी सार्वजनिक इंटरैक्शन सर्वर के माध्यम से नहीं भेजा जाता, जिसे कुछ एंगेजमेंट पूरी तरह मना करते हैं।

एक stdlib फ़ाइल

rcekit.py अकेले चलती है — जंप बॉक्स, एयर-गैप्ड होस्ट, कहीं भी जहाँ pip install विकल्प न हो।

OS कमांड इंजेक्शन (परिणाम-आधारित)	`reflected`	Webmin 1.910 — CVE-2019-15107	`confirmed`
एक्सप्रेशन इंजेक्शन (OGNL)	`eval`	Apache Struts2 — S2-001	`confirmed`
एक्सप्रेशन-लुकअप (Log4Shell/JNDI)	`lookup`	Apache Solr 8.11.0 (Log4j 2.14.1) — CVE-2021-44228	`lookup-sink`
ब्लाइंड कमांड इंजेक्शन (कोई आउटपुट नहीं)	`time`	Webmin 1.910 — CVE-2019-15107	`needs-review`

विकल्प	विवरण
`--target`	लक्ष्य सर्वर का URL
`--command`	निष्पादित करने के लिए कमांड
`--endpoint`	RSC एंडपॉइंट पथ (डिफ़ॉल्ट: `/`)
`--proxy`	उपयोग करने के लिए HTTP प्रॉक्सी
`--verbose`	विस्तृत आउटपुट सक्षम करें

चर	विवरण
`KITPLOIT_SERVER`	सर्वर URL
`KITPLOIT_TOKEN`	API टोकन
`KITPLOIT_FORMAT`	डिफ़ॉल्ट आउटपुट प्रारूप
`KITPLOIT_TIMEOUT`	अनुरोध टाइमआउट (सेकंड में)
`NO_COLOR`	रंगीन आउटपुट अक्षम करें

पैरामीटर	प्रकार	विवरण
`page`	integer	पृष्ठ संख्या (डिफ़ॉल्ट: 1)
`limit`	integer	प्रति पृष्ठ आइटम (डिफ़ॉल्ट: 20, अधिकतम: 100)
`status`	string	स्थिति के अनुसार फ़िल्टर करें: `pending`, `running`, `completed`, `failed`
`target`	string	लक्ष्य के अनुसार फ़िल्टर करें

पुष्ट कर सकता है	RCEKit	commix	SSTImap	Nuclei
OS कमांड इंजेक्शन	✅	✅ (इसका पूरा दायरा)	—	प्रति टेम्पलेट
एक्सप्रेशन इंजेक्शन / SSTI	✅	इसकी eval-आधारित तकनीक के ज़रिए	✅ (इसका पूरा दायरा)	प्रति टेम्पलेट
ब्लाइंड — टाइमिंग	✅ एक अलग टियर के रूप में	✅	✅	—
ब्लाइंड — आउट-ऑफ-बैंड	✅ बिल्ट-इन लिसनर	—	—	interactsh के ज़रिए
नो-एग्रेस — लिखें और वापस फ़ेच करें	✅ कोई भी रीड-बैक पाथ	✅ (वेब रूट)	—	—
`cmd.exe` और PowerShell सिंक	✅ प्रति-बोली प्रोब	✅ (cmd)	—	प्रति टेम्पलेट
अपलोड → राइट-देन-एक्ज़ीक्यूट	✅ राइट बनाम एक्ज़ीक्यूट, अलग टियर	—	—	प्रति टेम्पलेट
सेकंड-ऑर्डर — यहाँ पहुँचता है, वहाँ चलता है	✅	—	—	—
OS तक क्वेरी-लैंग्वेज ब्रिज	✅	—	—	प्रति टेम्पलेट
डीसेरियलाइज़ेशन सिंक	✅ अपना टियर, कभी RCE नहीं कहा जाता	—	—	प्रति टेम्पलेट
ऊपर का सब कुछ, एक CLI, एक रन	✅	—	—	—

स्थिति	यहाँ जाएँ
मेरे पास एक URL और एक पैरामीटर है	Point at a URL
मेरे पास Burp से सहेजा गया अनुरोध है	Point at a captured request
ऐप JSON है / पेलोड बार-बार विकृत होता रहता है	Landing the payload intact
मुझे नहीं पता यह कौन सी क्लास है	Choosing methods
सिंक `;` को हटा देता है	When the sink filters separators
मेरा इनपुट `'quotes'` के अंदर पहुँचता है	Injecting inside quotes
सिंक मेरे इनपुट को पूरे कमांड के रूप में चलाता है	Whole-command sinks
लक्ष्य Windows है या सिंक PowerShell है	Windows and PowerShell sinks
एक WAF है	Working around a WAF
कोई आउटपुट वापस नहीं आता	Blind targets
कोई आउटपुट और कोई egress नहीं	No-egress targets
अनुरोध कुछ चलाने के बजाय एक फ़ाइल संग्रहीत करता है	Upload and write-primitive targets
पेलोड बाद में, किसी भिन्न अनुरोध पर चलता है


Verify it yourself	ऊपर दी गई पुष्टियों को अपनी मशीन पर, dockerised कमज़ोर लक्ष्यों के विरुद्ध पुनरुत्पादित करें। पाँच मिनट।
Field guide	हर वास्तविक स्थिति का उदाहरण-चालित वॉकथ्रू, पहले प्रोब से लेकर मल्टी-स्टेप चेन तक। यहाँ से शुरू करें।
Payload generation & exports	पेलोड जनरेटर के रूप में RCEKit: लक्ष्य प्रोफ़ाइल, और Burp / ffuf / Nuclei एक्सपोर्ट।
Reference	हर फ्लैग, एनवायरनमेंट, श्रेणी, कॉन्टेक्स्ट, एन्कोडिंग और कोड-एक्ज़ीक्यूशन सिंक।
CHANGELOG.md	प्रत्येक रिलीज़ में क्या बदला, और अपग्रेड करते समय क्या दोबारा जाँचना है।
CONTRIBUTING.md	सिंक, श्रेणियाँ, एन्कोडिंग और डिटेक्शन विधियाँ कैसे जोड़ें।
SECURITY.md	RCEKit में ही किसी कमज़ोरी की रिपोर्ट करना।

rcekit

सबसे लोकप्रिय

RCEKit

प्रमाण, "शायद" नहीं

त्वरित शुरुआत

अवलोकन

भेद्यता विवरण

तकनीकी पृष्ठभूमि

शोषण तंत्र

PoC का उपयोग कैसे करें

पूर्वापेक्षाएँ

इंस्टॉलेशन

उपयोग

विकल्प

उदाहरण

शमन

अस्वीकरण

संदर्भ

उदाहरण

कॉन्फ़िगरेशन

पर्यावरण चर

API संदर्भ

प्रमाणीकरण

एंडपॉइंट

GET /api/v1/scans

POST /api/v1/scans

🎯 मुख्य विशेषताएँ

📦 इंस्टॉलेशन

सोर्स से बिल्ड करना

पैकेज मैनेजर के माध्यम से

🚀 उपयोग

बेसिक स्कैन

उन्नत स्कैनिंग

आउटपुट विकल्प

🔧 कॉन्फ़िगरेशन

कॉन्फ़िगरेशन फ़ाइल

एनवायरनमेंट वेरिएबल्स

📊 स्क्रिप्टिंग

Lua स्क्रिप्ट उदाहरण

🛡️ सुरक्षा सुविधाएँ

📈 परफॉर्मेंस ट्यूनिंग

🤝 योगदान

📄 लाइसेंस

⚠️ डिस्क्लेमर

🙏 आभार

यह क्या पुष्ट करता है

RCEKit की तुलना कैसे करता है

1. एक इंजेक्शन पॉइंट, हर वर्ग, एक रन

Command injection, expression injection and blind timing against the same

parameter, in one pass, with zero infrastructure

3. यह एक अधिकृत एंगेजमेंट के लिए बनाया गया है, किसी लैब के लिए नहीं

कब कुछ और उठाना चाहिए

अपनी स्थिति खोजें

दस्तावेज़ीकरण

सुरक्षा और नैतिकता

विकास```bash

लाइसेंस

`GET /api/v1/scans`

`POST /api/v1/scans`