CVE-2024-23334-PoC — 此仓库是 CVE-2024-23334 的概念验证 (POC)，演示了尝试复现 aiohttp 中导致本地文件包含 (LFI) 漏洞的过程。 | Kitploit

CVE-2024-23334-PoC

此仓库是 CVE-2024-23334 的概念验证（POC），演示了尝试复现 aiohttp 中导致本地文件包含（LFI）的漏洞。

[!CAUTION] 免责声明：此 POC 仅用于教育目的。请勿在真实场景中使用。

安装

克隆仓库并设置环境。

git clone https://github.com/Betan423/CVE-2024-23334-PoC
cd CVE-2024-23334-PoC
# run in virtual environment
python3 -m venv .env
chmod +x ./.env/bin/activate
source ./.env/bin/activate
pip3 install -r requirements.txt

启动服务器

python server.py

运行脚本

bash exploit.sh

或

python3 exploit.py -s http://localhost:8081

恭喜！您已成功复现 CVE-2024-23334。

您可以在 static 文件夹中创建符号链接以测试 follow_symlinks：

在 static 文件夹中为 test.txt 创建符号链接：
您需要先在桌面上创建一个 test.txt 文件。

cd static
ln -s ~/Desktop/test.txt test

查看 test.txt 文件：访问 http://localhost:8081/static/test，您应该能看到 test.txt 的内容

参考

CVE-2024-23334
jhonnybonny/CVE-2024-23334
z3rObyte/CVE-2024-23334-PoC