CVE-2025-49132 - Pterodactyl Panel कॉन्फ़िगरेशन स्कैनिंग उपकरण

यह उपकरण Pterodactyl पैनल इंस्टेंस को स्कैन करने के लिए है, जो उनकी डेटाबेस कॉन्फ़िगरेशन जानकारी प्राप्त करने का प्रयास करता है। एक विशिष्ट पाथ ट्रैवर्सल भेद्यता का उपयोग करके, पैनल का संवेदनशील कॉन्फ़िगरेशन डेटा प्राप्त किया जा सकता है।

परियोजना अवलोकन

यह परियोजना एक उच्च-प्रदर्शन HTTP अनुरोध उपकरण है, जो सार्वजनिक इंटरनेट पर उजागर Pterodactyl पैनल इंस्टेंस की कॉन्फ़िगरेशन जानकारी का पता लगाने और एकत्र करने के लिए समर्पित है। यह लक्ष्य सर्वर पर विशिष्ट अनुरोध भेजता है, जाँचता है कि क्या प्रतिक्रिया में डेटाबेस कॉन्फ़िगरेशन जानकारी शामिल है, और परिणामों को वर्गीकृत करके सहेजता है।

विशेषताएँ

मुख्य विशेषताएँ

• बहु-मोड निष्पादन: सिंगल-थ्रेड, मल्टी-थ्रेड और एसिंक्रोनस तीन निष्पादन मोड का समर्थन करता है
• बुद्धिमान वर्गीकरण: परिणामों को स्वचालित रूप से "सही" (लक्ष्य डेटा शामिल) और "गलत" (लक्ष्य डेटा शामिल नहीं या अनुरोध विफल) दो श्रेणियों में विभाजित करता है
• स्वचालित सहेजना: परिणाम प्रकार के अनुसार स्वचालित रूप से विभिन्न निर्देशिकाओं में सहेजता है
• प्रदर्शन निगरानी: निष्पादन प्रगति और सांख्यिकीय जानकारी वास्तविक समय में प्रदर्शित करता है
• प्रॉक्सी समर्थन: प्रॉक्सी के माध्यम से अनुरोध भेजने का समर्थन करता है
• त्रुटि पुनर्प्रयास: असफल अनुरोधों को स्वचालित रूप से पुनः प्रयास करता है
• परिणाम विश्लेषण: प्रतिक्रिया डेटा में डेटाबेस कॉन्फ़िगरेशन जानकारी का स्वचालित विश्लेषण करता है

तकनीकी विशेषताएँ

• HTTP अनुरोधों के लिए requests लाइब्रेरी का उपयोग करता है
• एसिंक्रोनस अनुरोध समर्थन के लिए aiohttp का उपयोग करता है
• मल्टी-थ्रेडिंग के लिए ThreadPoolExecutor का उपयोग करता है
• JSON डेटा पार्सिंग और विश्लेषण का समर्थन करता है
• संपूर्ण त्रुटि प्रबंधन तंत्र के साथ

निर्देशिका संरचना

.
├── main.py              # 主程序文件
├── url.txt              # 目标主机列表文件
├── json/                # 输出目录
│   ├── ✔️正确/           # 包含目标数据的结果保存目录
│   └── ❌错误/           # 错误或无效结果保存目录
└── README.md            # 项目说明文档

निर्भरताएँ स्थापित करें

प्रोग्राम चलाने से पहले, आवश्यक Python लाइब्रेरी स्थापित करनी होंगी:

pip install requests aiohttp urllib3

उपयोग विधि

बुनियादी उपयोग

python main.py

डिफ़ॉल्ट रूप से url.txt फ़ाइल में होस्ट सूची पढ़ी जाती है और मल्टी-थ्रेड मोड में संसाधित की जाती है।

कमांड लाइन पैरामीटर

python main.py [--file FILE] [--mode MODE] [--workers WORKERS]

पैरामीटर विवरण:

• -f, --file: होस्ट सूची फ़ाइल पथ निर्दिष्ट करता है (डिफ़ॉल्ट: url.txt)
• -m, --mode: निष्पादन मोड, विकल्प: threading (मल्टी-थ्रेड), async (एसिंक्रोनस), single (सिंगल-थ्रेड) (डिफ़ॉल्ट: threading)
• -w, --workers: कार्य थ्रेड्स की संख्या (डिफ़ॉल्ट: 5)

उदाहरण

# 使用默认设置
python main.py

# 指定自定义主机文件
python main.py --file hosts.txt

# 使用异步模式处理
python main.py --mode async

# 使用单线程模式
python main.py --mode single

# 设置工作线程数为10
python main.py --workers 10

कॉन्फ़िगरेशन विवरण

main.py फ़ाइल में Config वर्ग में निम्नलिखित कॉन्फ़िगरेशन संशोधित किए जा सकते हैं:

• PROXY: प्रॉक्सी सर्वर पता (डिफ़ॉल्ट: http://127.0.0.1:7899)
• TIMEOUT: अनुरोध टाइमआउट (डिफ़ॉल्ट: 30 सेकंड)
• MAX_RETRIES: अधिकतम पुनर्प्रयास संख्या (डिफ़ॉल्ट: 3)
• MAX_WORKERS: अधिकतम कार्य थ्रेड्स की संख्या (डिफ़ॉल्ट: 5)
• USER_AGENT: अनुरोध User-Agent (डिफ़ॉल्ट: Mozilla/5.0 Windows AppleWebKit/537.36)

कार्य सिद्धांत

1. प्रोग्राम निर्दिष्ट फ़ाइल से होस्ट सूची पढ़ता है
2. प्रत्येक होस्ट पर /locales/locale.json पथ पर HTTP GET अनुरोध भेजता है
3. अनुरोध पैरामीटर इस प्रकार सेट होते हैं:
   • locale: ../../../pterodactyl
   • namespace: config/database
4. प्रतिक्रिया डेटा का विश्लेषण करता है, जाँचता है कि क्या इसमें डेटाबेस कॉन्फ़िगरेशन जानकारी शामिल है
5. परिणाम प्रकार के अनुसार डेटा को संबंधित निर्देशिका में सहेजता है:
   • लक्ष्य डेटा शामिल: json/✔️正确/
   • लक्ष्य डेटा शामिल नहीं या अनुरोध विफल: json/❌错误/
6. निष्पादन प्रगति और सांख्यिकीय जानकारी वास्तविक समय में प्रदर्शित करता है

आउटपुट प्रारूप

परिणाम JSON प्रारूप में सहेजे जाते हैं, जिनमें निम्नलिखित जानकारी शामिल होती है:

• success: अनुरोध सफल रहा या नहीं
• status_code: HTTP स्थिति कोड
• response_time: प्रतिक्रिया समय
• url: वास्तविक अनुरोध URL
• headers: प्रतिक्रिया शीर्षलेख जानकारी
• data: प्रतिक्रिया डेटा
• size: प्रतिक्रिया आकार
• contains_target_data: क्या लक्ष्य डेटा शामिल है
• database_info: निकाली गई डेटाबेस जानकारी

सावधानियाँ

1. कृपया सुनिश्चित करें कि संबंधित कानूनों और विनियमों का पालन किया जाए और इस उपकरण का उपयोग केवल अधिकृत वातावरण में किया जाए
2. उपयोग से पहले कृपया अपने नेटवर्क वातावरण के अनुसार प्रॉक्सी कॉन्फ़िगरेशन संशोधित करें
3. बड़ी संख्या में अनुरोध लक्ष्य सर्वर पर दबाव डाल सकते हैं, कृपया थ्रेड्स की संख्या उचित रूप से सेट करें
4. सहेजे गए परिणामों में संवेदनशील जानकारी हो सकती है, कृपया उन्हें सुरक्षित रखें

सांख्यिकीय जानकारी

प्रोग्राम निष्पादन पूर्ण होने के बाद विस्तृत सांख्यिकीय जानकारी प्रदर्शित की जाएगी:

• कुल अनुरोधों की संख्या
• सफल अनुरोधों की संख्या
• असफल अनुरोधों की संख्या
• प्राप्त लक्ष्य डेटा की संख्या
• सफलता दर
• लक्ष्य डेटा पता लगाने की दर
• कुल निष्पादन समय
• प्रति सेकंड अनुरोधों की संख्या