CVE-2025-25257 - प्रयोग वातावरण

प्रयोग की वास्तुकला (वातावरण FortiWeb के कमजोर घटकों का अनुकरण करता है)

कमजोर एंडपॉइंट: /api/system/fabric/config
इंजेक्शन वेक्टर: HTTP हेडर Authorization: Bearer
तंत्र: प्रत्यक्ष SQL संयोजन (Python f-string)
प्रमाणीकरण: कोई नहीं (पूर्ण बाईपास)
डेटाबेस: SQLite (प्रदर्शन के लिए)

cve-2025-25257

├── Dockerfile
├── docker-compose.yml
├── requirements.txt
├── app.py
├── init_db.py
├── payload.txt
└── README.md

Dockerfile: जानबूझकर कमजोर HTTP सेवा / बिना प्रमाणीकरण के शोषण योग्य API को उजागर करती है

docker-compose.yml: एक पुनरुत्पादन योग्य कमजोर सेवा को व्यवस्थित करता है / http के माध्यम से हमला करने योग्य API को उजागर करता है / प्रयोग वातावरण को अलग करता है

requirements.txt: एक स्थिर और पुनरुत्पादन योग्य वातावरण सुनिश्चित करता है

app.py: पूर्व-प्रमाणीकरण एंडपॉइंट लागू करता है / Authorization के माध्यम से उपयोगकर्ता इनपुट स्वीकार करता है / इस इनपुट को SQL क्वेरी में संयोजित करता है / प्रमाणीकरण बाईपास और डेटा निष्कर्षण की अनुमति देता है

init_db.py: एक शोषण योग्य डेटासेट तैयार करता है / प्रमाणीकरण बाईपास और डेटा एक्सफिल्ट्रेशन का स्पष्ट प्रदर्शन सक्षम करता है

payload.txt कोड निष्पादन का न्यूनतम, नियंत्रित और अवलोकनीय प्रमाण प्रदान करता है

चरण 1: कंटेनर बनाएं और चलाएं

डॉकर इमेज का निर्माण

docker-compose build

कंटेनर प्रारंभ करें