CVE-2024-23334-PoC

Этот репозиторий является доказательством концепции (PoC) для CVE-2024-23334, демонстрирующим попытку воспроизвести ошибку в aiohttp, приводящую к локальному включению файлов (LFI).

[!CAUTION] Отказ от ответственности: Данный PoC предназначен только для образовательных целей. НЕ ИСПОЛЬЗУЙТЕ его в реальных сценариях.

Установка

1. Склонируйте репозиторий и настройте окружение.

git clone https://github.com/Betan423/CVE-2024-23334-PoC
cd CVE-2024-23334-PoC
# запуск в виртуальном окружении
python3 -m venv .env
chmod +x ./.env/bin/activate
source ./.env/bin/activate
pip3 install -r requirements.txt

2. Запустите сервер

python server.py

3. Выполните скрипт

bash exploit.sh

или

python3 exploit.py -s http://localhost:8081

Поздравляем! Вы успешно воспроизвели CVE-2024-23334.

Вы можете создать символическую ссылку в папке static для тестирования follow_symlinks:

1. Создайте символическую ссылку для test.txt в папке static:
   Сначала создайте файл test.txt на рабочем столе.

cd static
ln -s ~/Desktop/test.txt test

2. Просмотрите файл test.txt: Перейдите по адресу http://localhost:8081/static/test — вы должны увидеть содержимое test.txt

Ссылки

CVE-2024-23334
jhonnybonny/CVE-2024-23334
z3rObyte/CVE-2024-23334-PoC