Автоматизированный эксплойт-инструмент для Grafana CVE-2021-43798

Обзор

Данный проект представляет собой автоматизированный инструмент эксплуатации, предназначенный для сканирования и извлечения конфиденциальной информации из скомпрометированных экземпляров Grafana, уязвимых к CVE-2021-43798. Инструмент определяет уязвимые плагины и извлекает SSH-ключи скомпрометированных пользователей.

Возможности

• Автоматическое сканирование уязвимых экземпляров Grafana.
• Определение уязвимых плагинов.
• Извлечение конфиденциальных файлов, включая SSH-ключи.
• Поддержка сканирования одного и нескольких целевых объектов.
• Настраиваемые списки путей для сканирования.

Предварительные требования

• Python 3.x
• Требуемые библиотеки Python: colorama

Установка

1. Клонируйте репозиторий:

   root@kitploit:~

   git clone https://github.com/hxlxmjxbbxs/grafxploit.git
   cd grafxploit
   

2. Установите требуемую библиотеку Python:

   root@kitploit:~

   pip install colorama
   

Использование

Инструмент можно запускать с различными параметрами командной строки для указания целей, выходных каталогов и дополнительных путей для сканирования.

Параметры командной строки

• -t, --target: Проверить одну цель в формате proto://ip:port.
• -i, --input-targets: Проверить несколько целей из файла в формате proto://ip:port.
• -o, --output: Каталог для загрузки файлов в случае их обнаружения.
• -p, --paths: Файл, содержащий дополнительные пути для проверки (по умолчанию: common/paths.txt).

Примеры

1. Сканирование одной цели:

   root@kitploit:~

   python grafxploit.py -t http://192.168.1.100:3000
   

2. Сканирование нескольких целей из файла:

   root@kitploit:~

   python grafxploit.py -i targets.txt
   

3. Укажите выходной каталог для загруженных файлов:

   root@kitploit:~

   python grafxploit.py -t http://192.168.1.100:3000 -o output_directory
   

Разработчики

• Halim Jabbes
• Mohammed Jalal Mahjoubi
• Fazil Kabkoubi
• Khodia Gueye

Дата создания

22-03-2025