Неаутентифицированная time-based слепая SQL-инъекция (blind SQLi) proof of concept для конечной точки VERM_AJAX_functions.php VICIdial (CVE-2024-8503). Проект предназначен только для авторизованного тестирования безопасности, валидации и обучения.

Обзор

CVE-2024-8503 — это неаутентифицированная SQL-инъекция в VICIdial, где специально сформированное значение имени пользователя Basic Auth может достичь уязвимой логики запросов в VERM_AJAX_functions.php. Данный PoC использует time-based инференцию для подтверждения эксплуатабельности и извлечения ограниченных метаданных и данных таблиц контролируемым образом.

Возможности

Движок извлечения на основе time-based слепой SQLi с использованием бинарного поиска по ASCII
Возобновляемые сканирования с сохранением состояния на диске
Извлечение метаданных: версия, имя БД, пользователь БД, имя хоста, привилегии и количество таблиц
Обнаружение таблиц, столбцов и строк со строгими ограничениями
Режимы ручного и автоматического извлечения
Экспорт в CSV и JSON
Режим самопроверки без сетевой активности

Ограничения безопасности

В этом выпуске действуют строгие ограничения proof-of-concept:

Таблицы: 10
Столбцов на таблицу: 10
Строк на таблицу: 10
Длина извлекаемого значения в ячейке: 100 символов
Максимальная длина метаданных: 250 символов

Требования

Python 3.8+
requests

Установка

Установите зависимости:

pip install requests

Быстрый старт

Запустите локальную самопроверку, чтобы подтвердить конфигурацию без сетевых запросов:

python3 CVE-2024-8503-POC.py --self-check

Запустите базовое неинтерактивное сканирование:

python3 CVE-2024-8503-POC.py --url https://target.tld

Интерактивный режим

Интерактивный режим — это отдельный рабочий процесс для управляемого оператором тестирования. Он полезен, когда вы хотите выполнять задачи извлечения вручную, а не одной командой.

python3 CVE-2024-8503-POC.py --url https://target.tld --interactive

Интерактивное меню поддерживает извлечение метаданных, обнаружение таблиц и столбцов, ручное извлечение, автоматическое извлечение, пользовательские запросы и возобновляемые полные сканирования.

Использование командной строки

Используйте эти команды, когда вам нужно выполнить конкретную задачу без входа в интерактивное меню.

Извлечение метаданных:

python3 CVE-2024-8503-POC.py --url https://target.tld --metadata db_version database db_user

Список таблиц:

python3 CVE-2024-8503-POC.py --url https://target.tld --list-tables

Получить столбцы для таблицы:

python3 CVE-2024-8503-POC.py --url https://target.tld --get-columns call_log

Извлечь определённые столбцы:

python3 CVE-2024-8503-POC.py --url https://target.tld --table call_log --columns uniqueid,channel --rows 3

Автоматическое извлечение данных таблицы:

python3 CVE-2024-8503-POC.py --url https://target.tld --auto-extract call_log

Полное сканирование:

python3 CVE-2024-8503-POC.py --url https://target.tld --full-scan

Пользовательский запрос (только SELECT):

python3 CVE-2024-8503-POC.py --url https://target.tld --custom-query "SELECT DATABASE()"

Опциональные флаги:

--path для изменения пути к конечной точке (по умолчанию: /VERM/VERM_AJAX_functions.php)
--skip-vuln-check для пропуска начального зонда подтверждения уязвимости
--export для сохранения результатов (JSON для метаданных/полного сканирования, CSV для данных таблиц)

Возобновляемые сканирования

Прогресс автоматически сохраняется в:

.vicidial_scan_state.json

Если обнаружено предыдущее сканирование, скрипт предложит возобновить его или очистить состояние.

Заметки о проекте

Интерактивный рабочий процесс предназначен для другого опыта оператора по сравнению с обычным командным потоком.
Инструмент ограничивает извлечение небольшим, демонстрируемым proof-of-concept объёмом.
В корне репозитория должен быть добавлен соответствующий файл LICENSE; в этом README предполагается MIT.

Правовое предупреждение

Этот инструмент предоставляется только для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам незаконен. Вы должны получить явное письменное разрешение перед тестированием любых систем, которые вам не принадлежат. Автор не несёт ответственности за неправомерное использование или ущерб, причинённый этим инструментом.

Лицензия

Этот проект распространяется под лицензией MIT. Подробности в файле LICENSE на уровне репозитория.

Обновления

2026-04-29: Добавлен режим самопроверки и введены строгие ограничения 10/10/10.

Журнал изменений

1.0.0

Введены строгие ограничения PoC для таблиц, столбцов и строк.
Добавлены возобновляемые сканирования и режим самопроверки.

vicidial-cve-2024-8503-blind-sqli-poc

Популярное