abrewer251/cve-2017-12637_sap-netweaver-url-traversalПрототип LFI сканера: Автоматическое обнаружение уязвимостей /etc/passwd через обход каталогов и сопоставление регулярных выражений.
/etc/passwd с помощью обхода каталогов и проверки по регулярному выражению.# LFI-сканер
Лёгкий экспериментальный скрипт на Python для сканирования целевых хостов на уязвимость Local File Inclusion (LFI) путём попытки извлечения `/etc/passwd` и обнаружения его наличия с помощью проверки по регулярному выражению. :contentReference[oaicite:0]{index=0}
## Возможности
- **Пакетное сканирование** имен хостов или целей вида хост:порт из входного файла
- **Полезная нагрузка для обхода каталогов** для доступа к `/etc/passwd`
- **Обнаружение по регулярному выражению** записи `root` для подтверждения LFI
- **Индикатор прогресса** на базе `tqdm` для обратной связи в реальном времени
- **Структурированный отчёт**: вывод результатов и превью в файл результатов
## Требования
- Python 3.6 или новее
- [`tqdm`](https://pypi.org/project/tqdm/) (`pip install tqdm`)
- Утилита `curl` в PATH
## Установка
```bash
git clone https://github.com/yourusername/lfi-scanner.git
cd lfi-scanner
pip install tqdm
python poc.py <input_file> [-o OUTPUT_FILE]
<input_file>: Путь к файлу, содержащему по одной цели на строку (hostname или hostname:port).-o, --output: (Необязательно) Путь для записи результатов (по умолчанию results.txt).Пусть targets.txt содержит:
example.com
192.168.0.1:8443
Запустите сканнер:
python poc.py targets.txt -o scan_results.txt
Вы увидите примерно такой вывод:
[+] https://example.com:443/... → /etc/passwd НАЙДЕН
[-] https://192.168.0.1:8443/... → Ответ получен, совпадений нет
А scan_results.txt будет содержать сводку и превью.
poc.py:
argparse для разбора --input и --output.curl --insecure -s для каждой цели.root:.*?:0:0: для подтверждения раскрытия /etc/passwd.Используйте этот инструмент ответственно и только на ресурсах, которыми вы владеете или на тестирование которых имеете явное разрешение. Несанкционированное сканирование может нарушать законы и условия использования.
Распространяется по лицензии MIT.