CVE-2025-49132 स्टैंडअलोन भेद्यता स्कैनर

गैर-डॉकर कार्यान्वयन

यह स्कैनर डॉकर निर्भरताओं के बिना सीधे पायथन पर काम करता है, उन वातावरणों के लिए उपयुक्त है जहां डॉकर उपलब्ध नहीं है या पसंद नहीं किया जाता है।

स्थापना

pip install -r requirements-standalone.txt

मैन्युअल स्थापना:

pip install requests urllib3

उपयोग

1. एकल लक्ष्य स्कैनिंग

python standalone_scanner.py scan http://localhost/

2. फ़ाइल से बैच स्कैनिंग

targets.txt बनाएं:

http://localhost/
http://localhost:8080
http://localhost:3000

बैच स्कैन निष्पादित करें:

python standalone_scanner.py batch --file targets.txt

3. आउटपुट स्थायित्व

python standalone_scanner.py batch --file targets.txt --output results.json

4. इंटरैक्टिव मोड

python standalone_scanner.py interactive

आउटपुट उदाहरण

असुरक्षित लक्ष्य:

🔍 स्कैन किया जा रहा है: http://localhost/
⏰ समय: 2025-01-27 15:30:45
------------------------------------------------------------
✅ असुरक्षित - डेटाबेस क्रेडेंशियल मिले!
📊 डेटाबेस जानकारी:
   होस्ट: localhost
   पोर्ट: 3306
   डेटाबेस: root
   उपयोगकर्ता नाम: root
   पासवर्ड: secret123
🔗 कनेक्शन स्ट्रिंग: root:secret123@localhost:3306/root

✅ असुरक्षित - ऐप कॉन्फ़िगरेशन मिला!
📊 ऐप कॉन्फ़िग:
   ऐप कुंजी: base64:your_secret_key_here
   सिफर: AES-256-CBC
   डीबग: false
   वातावरण: production
   ऐप नाम: Pterodactyl
   ऐप URL: http://localhost
   समय क्षेत्र: UTC
   स्थान: en

🔔 सुरक्षा चेतावनी: APP_KEY उजागर!
   यह कुंजी एन्क्रिप्शन/डिक्रिप्शन के लिए उपयोग की जाती है
   इसका उपयोग संवेदनशील डेटा को डिक्रिप्ट करने के लिए किया जा सकता है

सुरक्षित लक्ष्य:

🔍 स्कैन किया जा रहा है: http://localhost/
⏰ समय: 2025-01-27 15:30:45
------------------------------------------------------------
❌ असुरक्षित नहीं (स्थिति: 404)

तकनीकी विशेषताएँ

• ✅ डॉकर-मुक्त संचालन: प्रत्यक्ष पायथन निष्पादन
• ✅ क्रॉस-प्लेटफ़ॉर्म संगतता: विंडोज, लिनक्स, मैकओएस
• ✅ एकाधिक निष्पादन मोड: एकल लक्ष्य, बैच प्रसंस्करण, इंटरैक्टिव
• ✅ संरचित आउटपुट: डेटा स्थायित्व के लिए JSON प्रारूप
• ✅ मजबूत त्रुटि प्रबंधन: व्यापक अपवाद प्रबंधन
• ✅ प्रगति निगरानी: वास्तविक समय स्कैनिंग प्रगति
• ✅ विश्लेषणात्मक रिपोर्ट: सांख्यिकीय सारांश उत्पादन
• ✅ क्रिप्टोग्राफिक पहचान: APP_KEY और सिफर पहचान
• ✅ सुरक्षा अलर्ट: स्वचालित भेद्यता अधिसूचनाएँ

तुलनात्मक विश्लेषण

तकनीकी विशिष्टताएँ

नेटवर्क कॉन्फ़िगरेशन

• टाइमआउट: 10 सेकंड (कॉन्फ़िगर करने योग्य)
• SSL सत्यापन: संगतता के लिए अक्षम
• यूज़र-एजेंट: मानक ब्राउज़र सिमुलेशन
• अनुरोध विधि: केवल GET (गैर-आक्रामक)

भेद्यता पहचान

• डेटाबेस कॉन्फ़िगरेशन एक्सपोज़र: MySQL/PostgreSQL क्रेडेंशियल
• एप्लिकेशन कॉन्फ़िगरेशन: Laravel/PHP सेटिंग्स
• क्रिप्टोग्राफिक कुंजियाँ: APP_KEY पहचान
• पर्यावरण चर: उत्पादन/विकास सेटिंग्स

समस्या निवारण

मॉड्यूल आयात त्रुटियाँ:

pip install requests

SSL प्रमाणपत्र समस्याएँ:

SSL चेतावनियाँ स्वचालित रूप से दबा दी जाती हैं। किसी अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता नहीं है।

कनेक्शन टाइमआउट:

डिफ़ॉल्ट टाइमआउट 10 सेकंड है। यदि आवश्यक हो तो स्रोत कोड में timeout पैरामीटर को संशोधित करें।

सुरक्षा संबंधी विचार

स्कैनर व्यवहार

• गैर-आक्रामक: केवल GET अनुरोध करता है
• डेटा हैंडलिंग: कोई संवेदनशील डेटा स्थायित्व नहीं
• पहचान दायरा: कॉन्फ़िगरेशन फ़ाइल एक्सपोज़र
• शोषण: कोई सक्रिय शोषण नहीं किया गया

जोखिम आकलन

• डेटाबेस क्रेडेंशियल: प्रत्यक्ष डेटाबेस एक्सेस की संभावना
• एप्लिकेशन कुंजियाँ: एन्क्रिप्शन/डिक्रिप्शन क्षमता एक्सपोज़र
• पर्यावरण चर: कॉन्फ़िगरेशन प्रकटीकरण
• हमले की सतह: बढ़ा हुआ भेद्यता पदचिह्न

त्वरित आरंभ गाइड

# Install dependencies
pip install requests urllib3

# Perform test scan
python standalone_scanner.py scan http://localhost/

# Execute batch analysis
python standalone_scanner.py batch --file targets.txt --output results.json

तकनीकी वास्तुकला

मुख्य घटक

1. स्कैनर इंजन: HTTP अनुरोध प्रसंस्करण
2. पार्सर मॉड्यूल: प्रतिक्रिया विश्लेषण और निष्कर्षण
3. भेद्यता डिटेक्टर: पैटर्न मिलान और सत्यापन
4. आउटपुट फ़ॉर्मेटर: संरचित डेटा प्रस्तुति
5. त्रुटि हैंडलर: अपवाद प्रबंधन और पुनर्प्राप्ति

डेटा प्रवाह

Target Input → HTTP Request → Response Analysis → Vulnerability Detection → Output Generation

प्रदर्शन मीट्रिक्स

• स्कैन गति: ~1-3 सेकंड प्रति लक्ष्य
• मेमोरी उपयोग: न्यूनतम पदचिह्न
• नेटवर्क ओवरहेड: प्रति लक्ष्य एक GET अनुरोध
• CPU उपयोग: निम्न कम्प्यूटेशनल आवश्यकताएँ

अनुपालन और नैतिकता

यह उपकरण इसके लिए डिज़ाइन किया गया है:

• सुरक्षा अनुसंधान: भेद्यता आकलन
• पैठ परीक्षण: अधिकृत सुरक्षा परीक्षण
• शैक्षिक उद्देश्य: सुरक्षा जागरूकता प्रशिक्षण
• अनुपालन ऑडिटिंग: सुरक्षा स्थिति मूल्यांकन

नोट: किसी भी लक्ष्य प्रणाली को स्कैन करने से पहले हमेशा उचित प्राधिकरण प्राप्त करें।