vanboomqi/cve-2024-23692Python-скрипт эксплойта для CVE-2024-23692, RCE через инъекцию шаблонов в Rejetto HFS 2.3m. Поддерживает одиночную и пакетную эксплуатацию URL с выполнением произвольных команд.
Rejetto HTTP File Server (HFS) — это легковесный HTTP-файловый сервер, широко используемый для обмена файлами и передачи данных. Уязвимость CVE-2024-23692 представляет собой уязвимость внедрения шаблонов, которая позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольные команды на затронутой системе путем отправки специально созданных HTTP-запросов. На дату присвоения CVE версия Rejetto HFS 2.3m больше не поддерживается.
Установка Rejetto HTTP File Server:
Запуск службы HFS:
Мы предоставляем скрипт Python для эксплуатации данной уязвимости. Убедитесь, что установлены следующие зависимости:
argparsehttp.clienturllib.parsepathlibconcurrent.futuresКлонирование или загрузка скрипта:
exploit.py.Эксплуатация одного URL:
python exploit.py -url http://example.com:8080 -cmd "whoami"
-url: Целевой URL.-cmd: Команда для выполнения (по умолчанию: whoami).-o: Файл для сохранения успешных результатов (по умолчанию: output.txt).Пакетная эксплуатация URL:
Создайте текстовый файл, содержащий несколько URL, например urls.txt, по одному URL в строке.
python exploit.py -r urls.txt -cmd "whoami" -o results.txt