CVE-2025-47812 — Wing FTP Server <= 7.4.3 未授权远程代码执行 (PoC)

Wing FTP Server <= 7.4.3 中的未授权远程代码执行漏洞。在登录时向 username 参数注入 NULL 字节会导致 Lua 代码写入会话文件。当使用生成的会话 cookie 访问 /dir.html 时，注入的代码会被执行——在 Linux 上以 root 权限，在 Windows 上以 SYSTEM 权限。

工作原理

1. 构造一个 POST 请求到 /loginok.html，在 username 字段中注入一个 NULL 字节后跟 Lua 代码。
2. 服务器创建一个包含未清理的用户名（包括 Lua 载荷）的会话文件。
3. 使用返回的 UID cookie 发送 GET 请求到 /dir.html 触发注入的 Lua 代码的执行。
4. 脚本在命令之间注销以避免触及服务器的并发会话限制。

环境要求

• Python 3
• 安装依赖：

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit