plex2shell_pcap

用于 plex2shell 漏洞利用的 pcap 文件

截至 2026 年 10 月 17 日，该漏洞正在被野外利用，但文件名包含 "lab" 的 pcap 来自实验室测试！！

关于野外利用：https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html

信息：https://zmain.info/blog/plex2shell

相关 CVE：

• CVE-2026-96652
• CVE-2026-96654
• CVE-2026-96655
• CVE-2026-96656

漏洞利用/POC：https://github.com/code-zm/plex2shell

目标：Docker 镜像：linuxserver/plex:1.42.2 10.98.178.40

攻击者：10.98.178.28

目标 docker-compose.yml：

---
services:
  plex:
    image: linuxserver/plex:1.42.2
    container_name: plex
    network_mode: host
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - VERSION=docker
    volumes:
      - ./plex/library:/config
      - ./tvseries:/tv
      - ./movies:/movies
    restart: unless-stopped

pcap：

• plex2shell_lab_filtered.pcap - 交互式反弹 shell
• plex2shell_lab_one_shot_filtered.pcap - 一次性执行 id 和 hostname，我记得是这样
• plex2shell_lab_one_shot_2_filtered.pcap - 一次性执行 id、hostname 和 cat passwd，如果我没记错的话

我认为 --exec 或交互式对检测部分影响不大。

从漏洞利用代码来看，这些使用的端口和域名总是可以被修改（显然还有许多其他内容，比如文件名等……）：

    attacker_host = "127.0.0.1.%s.sslip.io" % args.attacker_ip.replace(".", "-")
    token_port, carrier_port, lport = 8952, 8933, 9001

截图：

进程树（我通过交互式反弹 shell 运行 sleep 时的进程树）

来自 Wireshark 的截图：