pushkarup/cve-2022-29464A PoC and Exploit for CVE 2022-29464
क्रिटिकल WSO2 भेद्यता CVE-2022-29464 को Orange Tsai द्वारा खोजा गया था। यह दोष एक अनधिकृत, अप्रतिबंधित मनमानी फ़ाइल अपलोड है जो अनधिकृत उपयोगकर्ताओं को WSO2 सर्वरों पर दुर्भावनापूर्ण JSP फ़ाइलें सबमिट करने और रिमोट कोड निष्पादन (RCE) प्राप्त करने में सक्षम बनाता है।
यह एक्सप्लॉइट और प्रूफ ऑफ कॉन्सेप्ट (PoC) पूरी तरह से शैक्षिक और सूचनात्मक उद्देश्यों के लिए प्रस्तुत किया गया है। इसे साझा करने के पीछे का इरादा एक नियंत्रित वातावरण में संभावित कमजोरियों को प्रदर्शित करना है। इसका लक्ष्य साइबर सुरक्षा अवधारणाओं की समझ को बढ़ावा देना और जिम्मेदार प्रकटीकरण को प्रोत्साहित करना है।
इस एक्सप्लॉइट और PoC तक पहुँचने और उपयोग करने से, आप स्वीकार करते हैं कि आप अपने कार्यों के लिए पूरी तरह से जिम्मेदार हैं और इस जानकारी का उपयोग लागू कानूनों और विनियमों के अनुपालन में करने के लिए सहमत हैं। लेखक शिक्षा और जिम्मेदार प्रकटीकरण के अलावा किसी भी उद्देश्य के लिए इस PoC के उपयोग से उत्पन्न किसी भी दुरुपयोग या परिणामों के लिए कोई दायित्व नहीं मानता है।
https://github.com/Pushkarup/CVE-2022-29464/assets/148672587/f122fef2-794d-4fd5-a158-58f6e8e17cff
requests, colorama, urllib3रिपॉजिटरी को क्लोन करें:
git clone https://github.com/Pushkarup/CVE-2022-29464.git
cd CVE-2022-29464
आवश्यक Python पैकेज स्थापित करें:
pip install -r requirements.txt
.txt एक्सटेंशन के साथ सहेजें।"WSO2 Identity Server" site:*, "WSO2" OR "Identity Server" site:* का उपयोग करके परीक्षण के लिए साइट सूची एकत्र करें।स्क्रिप्ट चलाएँ:
python wso.py
स्क्रिप्ट को अपना काम करने दें और निर्देशों का पालन करें।
शोषित प्रत्येक साइट Results.txt में संग्रहीत की जाएगी।
वहां पोस्ट किए गए मेरे वेबशेल का उपयोग करके, आप उन बैकडोर तक पहुँच सकते हैं और कमांड इंजेक्शन निष्पादित कर सकते हैं।
योगदान का स्वागत है! यदि आपको कोई समस्या मिलती है या सुधार हैं, तो बेझिझक पुल रिक्वेस्ट खोलें या कोई issue बनाएँ।
यह परियोजना MIT लाइसेंस के तहत लाइसेंस प्राप्त है।