用于测试 exim 是否易受 CVE-2019-10149 影响的简单 Python socket 连接。该 payload 仅在 /root/lweximtest 中创建一个文件。输出会很慢，具体取决于服务器的响应，而且我也不知道如何正确使用 Python 的 socket 模块。希望能有人教教我如何加速。仅在 cPanel 服务器上测试过。
在疑似受感染的服务器上本地运行。此命令用于检查是否存在入侵迹象。
curl -s https://raw.githubusercontent.com/cowbe0x004/eximrce-CVE-2019-10149/master/eximioc.sh |bash
远程运行。用于测试远程代码执行。
git clone https://github.com/cowbe0x004/eximrce-CVE-2019-10149
cd eximrce-CVE-2019-10149
python eximrce.py <HOST> <PORT>
如果服务器上存在 /root/lweximtest，则说明可能存在远程代码执行漏洞。
如果你无法更新 exim，至少将以下 ACL 添加到 exim.conf 中，以防止 ${run{ 被执行。
## change
acl_smtp_rcpt = acl_smtp_rcpt
## to
acl_smtp_rcpt = acl_check_rcpt
## after "begin acl"
acl_check_rcpt:
deny message = Restricted characters in address
domains = +local_domains
local_parts = ^[.] : ^.*[@%!/|] : ^.*\N\${run{\N.*}}
deny message = Restricted characters in address
domains = !+local_domains
local_parts = ^[./|] : ^.*[@%!] : ^.*/\\.\\./ : ^.*\N\${run{\N.*}}
accept