CVE-2024-23334-PoC

이 저장소는 CVE-2024-23334에 대한 개념 증명(POC)으로, aiohttp에서 로컬 파일 포함(LFI)으로 이어지는 버그를 재현하려는 시도를 보여줍니다.

[!CAUTION] 면책 조항: 이 POC는 교육 목적으로만 제공됩니다. 실제 환경에서는 사용하지 마십시오.

설치

1. 저장소를 클론하고 환경을 설정합니다.

git clone https://github.com/Betan423/CVE-2024-23334-PoC
cd CVE-2024-23334-PoC
# 가상 환경에서 실행
python3 -m venv .env
chmod +x ./.env/bin/activate
source ./.env/bin/activate
pip3 install -r requirements.txt

2. 서버를 실행합니다

python server.py

3. 스크립트를 실행합니다

bash exploit.sh

또는

python3 exploit.py -s http://localhost:8081

축하합니다! CVE-2024-23334를 성공적으로 재현했습니다.

static 폴더에 심볼릭 링크를 생성하여 follow_symlinks를 테스트할 수 있습니다:

1. static 폴더에 test.txt에 대한 심볼릭 링크를 생성합니다:
   먼저 바탕화면에 test.txt 파일을 만들어야 합니다.

cd static
ln -s ~/Desktop/test.txt test

2. test.txt 파일을 확인합니다: http://localhost:8081/static/test 로 이동하면 test.txt의 내용을 볼 수 있습니다.

참고

CVE-2024-23334
jhonnybonny/CVE-2024-23334
z3rObyte/CVE-2024-23334-PoC