Superset_auth_bypass_check

Apache-Superset 인증 우회 취약점(CVE-2023-27524) 탐지 도구

수정 시간: 2023.8.3

• 하드코딩된 세션 시간 만료로 인한 세션 무효화 문제를 수정하고, flask_session_cookie_manager 도구를 참조하여 실시간 세션을 생성하여 탐지합니다.
• 리디렉션이 비활성화되지 않아 /login/으로 이동 시 상태 코드 200이 일치하는 버그를 수정합니다.

nplookges 님의 피드백에 감사드립니다.

개발 환경: python3

python 환경 이름으로 인한 실행 실패를 방지하려면 python 실행 프로그램을 python3으로 변경하여 환경 변수에 추가하세요

사용 방법 (단일 URL 탐지 및 배치 탐지 지원): //URL은 규칙에 따라 처리되었으며, ip, ip:port 형식을 지원합니다.

단일 탐지: python3 superset_auth_bypass_check.py -u

예시: python3 superset_auth_bypass_check.py -u http://192.168.1.1/

배치 탐지: python3 superset_auth_bypass_check.py -f

예시: python3 superset_auth_bypass_check.py -f url.txt

데모 스크린샷:

단일 탐지:

배치 탐지:

면책 조항

본 도구는 교육 및 연구 목적으로만 사용되며, 보안 인식을 높이고 소프트웨어 개발 실무를 개선하기 위한 것입니다. 본 도구를 사용하기 전에 관련 법규 및 윤리 기준을 준수하고 있는지 확인하십시오. 사용 후에는 이 도구를 삭제하시기 바랍니다. 사용자가 본 도구를 사용하여 불법 공격 등 위법 행위를 저지른 경우, 저자와 무관합니다.