text4shell-exploit

एक कस्टम Python-आधारित प्रूफ-ऑफ-कॉन्सेप्ट (PoC) एक्सप्लॉइट जो Text4Shell (CVE-2022-42889) को लक्षित करता है, जो Apache Commons Text संस्करणों < 1.10 में एक गंभीर रिमोट कोड एक्ज़ीक्यूशन भेद्यता है। यह एक्सप्लॉइट उन कमजोर Java अनुप्रयोगों को लक्षित करता है जो इंटरपोलेशन सक्षम के साथ StringSubstitutor क्लास का उपयोग करते हैं, जिससे मनमाने सिस्टम कमांड को निष्पादित करने के लिए ${script:...} एक्सप्रेशन इंजेक्ट किए जा सकते हैं।

इस PoC में, शोषण data क्वेरी पैरामीटर के माध्यम से प्रदर्शित किया गया है; हालांकि, कमजोर पैरामीटर का नाम कार्यान्वयन के आधार पर भिन्न हो सकता है। उपयोगकर्ताओं को लक्ष्य अनुप्रयोग के तर्क के अनुसार पेलोड और अनुरोध पथ को अनुकूलित करना चाहिए।

अस्वीकरण: यह एक्सप्लॉइट केवल शैक्षिक और अधिकृत पैनेट्रेशन परीक्षण उद्देश्यों के लिए प्रदान किया गया है। जिम्मेदारी से और अपने जोखिम पर उपयोग करें।

विवरण

यह Apache Commons Text भेद्यता के लिए एक कस्टम Python3 एक्सप्लॉइट है जिसे Text4Shell (CVE-2022-42889) के नाम से जाना जाता है। यह असुरक्षित इंटरपोलेटर्स के माध्यम से रिमोट कोड एक्ज़ीक्यूशन (RCE) की अनुमति देता है जब उपयोगकर्ता इनपुट को StringSubstitutor द्वारा गतिशील रूप से मूल्यांकित किया जाता है।

निम्नलिखित के विरुद्ध परीक्षण किया गया:

• Apache Commons Text < 1.10.0
• Java अनुप्रयोग जो अविश्वसनीय इनपुट से ${script:...} इंटरपोलेशन का उपयोग करते हैं