CVE-2026-21962 Java GUI Exploit Tool

Oracle WebLogic Server Proxy Plug-In RCE (रिमोट कोड एक्ज़ीक्यूशन) भेद्यता शोषण उपकरण का Java GUI संस्करण।

प्रोजेक्ट संरचना

java-version/
├── pom.xml              # Maven प्रोजेक्ट कॉन्फ़िगरेशन फ़ाइल
├── README.md            # प्रोजेक्ट दस्तावेज़ीकरण
├── run.bat              # Windows स्टार्टअप स्क्रिप्ट
└── src/
    └── main/
        └── java/
            └── com/
                └── ashwesker/
                    └── cve202621962/
                        ├── Main.java                    # प्रोग्राम एंट्री पॉइंट
                        ├── core/
                        │   └── Exploit.java             # शोषण कोर लॉजिक
                        ├── gui/
                        │   └── MainWindow.java          # GUI मुख्य विंडो
                        └── util/
                            └── HttpClient.java          # HTTP अनुरोध उपकरण

GUI इंटरफ़ेस लेआउट

प्रोग्राम विंडो में निम्नलिखित क्षेत्र शामिल हैं:

1. इनपुट पैरामीटर क्षेत्र (शीर्ष)

   • लक्ष्य URL टेक्स्ट क्षेत्र: बहु-पंक्ति इनपुट का समर्थन करता है, प्रत्येक पंक्ति में एक लक्ष्य पता
   • कमांड निष्पादन टेक्स्ट बॉक्स: निष्पादित किए जाने वाले कमांड को दर्ज करें

2. बटन क्षेत्र (मध्य)

   • शोषण निष्पादन बटन: शोषण परीक्षण शुरू करें
   • लॉग साफ़ करें बटन: लॉग और आउटपुट क्षेत्र साफ़ करें

3. निष्पादन लॉग क्षेत्र (नीचे बाईं ओर)

   • परीक्षण प्रक्रिया और स्थिति जानकारी वास्तविक समय में प्रदर्शित करता है
   • भेद करने के लिए ग्रे पृष्ठभूमि का उपयोग करता है

4. कमांड आउटपुट क्षेत्र (नीचे दाईं ओर)

   • कमांड निष्पादन परिणाम प्रदर्शित करता है
   • कई लक्ष्यों के बीच बराबर चिह्नों से विभाजित
   • भेद करने के लिए हल्के पीले पृष्ठभूमि का उपयोग करता है

कार्यात्मक विशेषताएं

• GUI इंटरफ़ेस: Swing का उपयोग करके निर्मित ग्राफ़िकल यूज़र इंटरफ़ेस
• बहु-लक्ष्य समर्थन: एक साथ कई लक्ष्य प्रणालियों का परीक्षण करने का समर्थन, प्रत्येक पंक्ति में एक URL
• Maven प्रबंधन: निर्भरता प्रबंधन और निर्माण के लिए Maven का उपयोग
• HTTP क्लाइंट: OkHttp पर आधारित HTTP अनुरोध
• बहु-पथ परीक्षण: स्वचालित रूप से कई संभावित भेद्यता पथों का परीक्षण
• वास्तविक समय लॉग: निष्पादन प्रक्रिया और परिणाम वास्तविक समय में प्रदर्शित करता है
• कमांड आउटपुट: कमांड निष्पादन परिणाम प्रदर्शित करता है, कई लक्ष्यों के बीच स्वचालित विभाजन
• अतुल्यकालिक निष्पादन: SwingWorker का उपयोग करके अतुल्यकालिक निष्पादन, इंटरफ़ेस को ब्लॉक नहीं करता

निर्भरताएं

• OkHttp 4.12.0 (HTTP क्लाइंट)
• Java 11+

संकलन और चलाना

Maven का उपयोग करके संकलन

cd java-version
mvn clean compile

JAR के रूप में पैकेजिंग

mvn clean package

पैकेज किया गया JAR फ़ाइल यहां स्थित है: target/cve-2026-21962-1.0.0.jar

प्रोग्राम चलाना

विधि 1: स्टार्टअप स्क्रिप्ट का उपयोग (अनुशंसित)

प्रोग्राम शुरू करने के लिए run.bat फ़ाइल पर डबल-क्लिक करें

विधि 2: Maven का उपयोग करके चलाना

cd java-version
mvn exec:java -Dexec.mainClass="com.ashwesker.cve202621962.Main"

विधि 3: सीधे JAR चलाना

java -jar target/cve-2026-21962-1.0.0.jar

विधि 4: Java कमांड का उपयोग करके चलाना (पहले संकलन आवश्यक)

cd java-version
mvn clean compile
java -cp "target/classes;[निर्भरता jar पथ]" com.ashwesker.cve202621962.Main

उपयोग उदाहरण

उदाहरण 1: एकल लक्ष्य परीक्षण

लक्ष्य URL:

http://192.168.1.100:7001

निष्पादन कमांड:

whoami

उदाहरण 2: बहु-लक्ष्य बैच परीक्षण

लक्ष्य URL:

http://192.168.1.100:7001
http://192.168.1.101:7001
http://192.168.1.102:7001
https://weblogic.example.com:4443

निष्पादन कमांड:

id

आउटपुट परिणाम उदाहरण:

[*] भेद्यता परीक्षण शुरू...
[*] लक्ष्य URL: http://192.168.1.100:7001
[*] निष्पादन कमांड: id
[*] परीक्षण पथ: http://192.168.1.100:7001/weblogic//weblogic/..;/bea_wls_internal/ProxyServlet
[+] सफल! स्थिति कोड: 200
[+] कमांड निष्पादन सफल!
uid=0(root) gid=0(root) groups=0(root)
------------------------------------------------------------
================================================================================
[*] भेद्यता परीक्षण शुरू...
[*] लक्ष्य URL: http://192.168.1.101:7001
[*] निष्पादन कमांड: id
[*] परीक्षण पथ: http://192.168.1.101:7001/weblogic//weblogic/..;/bea_wls_internal/ProxyServlet
[+] सफल! स्थिति कोड: 200
[+] कमांड निष्पादन सफल!
uid=0(root) gid=0(root) groups=0(root)
------------------------------------------------------------

उपयोग निर्देश

एकल लक्ष्य परीक्षण

1. प्रोग्राम शुरू करने के बाद, "लक्ष्य URL" टेक्स्ट क्षेत्र में लक्ष्य सर्वर पता दर्ज करें

   • उदाहरण के लिए: http://target:7001 या https://oracle-server:4443

2. "निष्पादन कमांड" फ़ील्ड में निष्पादित किए जाने वाले कमांड को दर्ज करें

   • उदाहरण के लिए: whoami, id, powershell -c ... आदि

3. परीक्षण शुरू करने के लिए "शोषण निष्पादन" बटन पर क्लिक करें

4. परीक्षण प्रक्रिया जानने के लिए नीचे "निष्पादन लॉग" देखें

5. कमांड निष्पादन परिणाम प्राप्त करने के लिए नीचे "कमांड आउटपुट" देखें

बहु-लक्ष्य बैच परीक्षण

1. "लक्ष्य URL" टेक्स्ट क्षेत्र में कई लक्ष्य पते दर्ज करें, प्रत्येक पंक्ति में एक

   http://target1:7001
   http://target2:7001
   https://target3:4443
   

2. "निष्पादन कमांड" फ़ील्ड में निष्पादित किए जाने वाले कमांड को दर्ज करें

3. बैच परीक्षण शुरू करने के लिए "शोषण निष्पादन" बटन पर क्लिक करें

4. प्रोग्राम प्रत्येक लक्ष्य का क्रमिक रूप से परीक्षण करेगा, विभिन्न लक्ष्यों के आउटपुट परिणामों के बीच ================ (80 बराबर चिह्न) से विभाजित

5. प्रत्येक लक्ष्य की परीक्षण प्रक्रिया जानने के लिए नीचे "निष्पादन लॉग" देखें

6. सभी लक्ष्यों के कमांड निष्पादन परिणाम प्राप्त करने के लिए नीचे "कमांड आउटपुट" देखें

अन्य संचालन

• लॉग और आउटपुट क्षेत्र साफ़ करने के लिए "लॉग साफ़ करें" बटन पर क्लिक करें
• निष्पादन के दौरान "शोषण निष्पादन" बटन अक्षम हो जाता है, निष्पादन पूरा होने के बाद स्वचालित रूप से पुनर्स्थापित हो जाता है
• प्रोग्राम विंडो आकार समायोजन का समर्थन करता है, सभी घटक स्वचालित रूप से विंडो आकार के अनुकूल हो जाते हैं

भेद्यता विवरण

• CVE ID: CVE-2026-21962
• प्रभावित संस्करण: Oracle HTTP Server / WebLogic Proxy Plug-In < पैच संस्करण (12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0)
• भेद्यता प्रकार: रिमोट कोड एक्ज़ीक्यूशन (RCE)
• प्रमाणीकरण आवश्यकता: कोई प्रमाणीकरण आवश्यक नहीं

परीक्षण पथ

प्रोग्राम स्वचालित रूप से निम्नलिखित पथों का परीक्षण करेगा:

• /weblogic/
• /wl_proxy/
• /bea_wls_internal/
• /_proxy/
• /proxy/

सावधानियां

⚠️ चेतावनी: यह उपकरण केवल अधिकृत सुरक्षा परीक्षण के लिए है। अनधिकृत उपयोग से सिस्टम पर हमला करना अवैध है।

• सुनिश्चित करें कि आपके पास लक्ष्य प्रणाली का परीक्षण करने के लिए स्पष्ट प्राधिकरण है
• केवल सुरक्षा अनुसंधान और पैठ परीक्षण के लिए उपयोग करें
• स्थानीय कानूनों और विनियमों का पालन करें
• लेखक किसी भी दुरुपयोग के लिए ज़िम्मेदार नहीं है

तकनीकी कार्यान्वयन

• GUI फ्रेमवर्क: Java Swing
• HTTP क्लाइंट: OkHttp 4.12.0
• निर्माण उपकरण: Maven
• Java संस्करण: Java 11+
• लेआउट प्रबंधन: BorderLayout, GridBagLayout, JSplitPane
• मल्टीथ्रेडिंग: SwingWorker अतुल्यकालिक निष्पादन लागू करता है
• SSL समर्थन: प्रमाणपत्र सत्यापन को अनदेखा करता है, HTTPS का समर्थन करता है

मुख्य घटक विवरण

1. Main.java

   • प्रोग्राम एंट्री पॉइंट, सिस्टम लुक एंड फील सेट करता है और GUI शुरू करता है

2. Exploit.java

   • शोषण कोर लॉजिक लागू करता है
   • Base64 एन्कोडेड payload
   • कई भेद्यता पथों का परीक्षण
   • कॉलबैक इंटरफ़ेस के माध्यम से GUI के साथ संचार

3. MainWindow.java

   • GUI मुख्य विंडो कार्यान्वयन
   • उपयोगकर्ता इनपुट और बटन इवेंट संभालता है
   • निष्पादन लॉग और कमांड आउटपुट प्रदर्शित करता है
   • बहु-लक्ष्य बैच परीक्षण का समर्थन करता है

4. HttpClient.java

   • HTTP अनुरोध कार्यक्षमता को एनकैप्सुलेट करता है
   • GET/POST अनुरोधों का समर्थन करता है
   • SSL प्रमाणपत्र सत्यापन को अनदेखा करता है
   • 12 सेकंड टाइमआउट सेटिंग

लाइसेंस

यह प्रोजेक्ट केवल शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए है।