CVE-2024-23334-PoC

このリポジトリは、CVE-2024-23334 の概念実証（POC）であり、aiohttp におけるローカルファイルインクルージョン（LFI）に至るバグを再現する試みを示しています。

[!CAUTION] 免責事項：この POC は教育目的のみです。実際のシナリオでは使用しないでください。

インストール

1. リポジトリをクローンし、環境を準備します。

git clone https://github.com/Betan423/CVE-2024-23334-PoC
cd CVE-2024-23334-PoC
# 仮想環境で実行
python3 -m venv .env
chmod +x ./.env/bin/activate
source ./.env/bin/activate
pip3 install -r requirements.txt

2. サーバーを起動します

python server.py

3. スクリプトを実行します

bash exploit.sh

または

python3 exploit.py -s http://localhost:8081

おめでとうございます！CVE-2024-23334 の再現に成功しました。

follow_symlinks をテストするために静的フォルダにシンボリックリンクを作成できます:

1. static フォルダ内に test.txt 用のシンボリックリンクを作成します:
   最初にデスクトップに test.txt ファイルを作成する必要があります。

cd static
ln -s ~/Desktop/test.txt test

2. test.txt ファイルを表示する: http://localhost:8081/static/test にアクセスすると、test.txt の内容が表示されるはずです。

参考

CVE-2024-23334
jhonnybonny/CVE-2024-23334
z3rObyte/CVE-2024-23334-PoC