CVE-2025-59718 漏洞利用向导

概述

该工具是 CVE-2025-59718 的概念验证（PoC）漏洞利用脚本。CVE-2025-59718 是 Fortinet 产品（例如 FortiOS、FortiProxy、FortiSwitchManager）中的一个严重身份验证绕过漏洞，其根源在于 FortiCloud SSO 的 SAML 消息中加密签名验证不当。该漏洞允许未认证的远程攻击者通过构造并提交未签名的 SAML 响应来绕过身份验证并获得管理员访问权限。

重要说明： 此脚本仅用于教育、研究和授权测试目的。未经明确许可对系统进行未授权使用是非法且不道德的。测试前请始终遵守适用法律并获得适当授权。

该脚本支持单一或批量目标扫描、可选代理使用、SAML 令牌重放和会话劫持模拟，以及配置文件下载等认证后操作。它使用多线程以提高效率，并将结果记录到文件中以供分析。

免责声明

安全公告： 有关受影响版本、补丁和缓解措施的详细信息，请参阅 Fortinet 官方公告（FG-IR-25-647）。
活跃利用： 截至 2025 年 12 月 22 日，该漏洞已在野外被积极利用。请立即修补或禁用 FortiCloud SSO。
道德使用： 此 PoC 旨在展示漏洞的影响以提高安全意识。请勿在生产系统中或未经许可的情况下使用。作者对滥用行为不承担任何责任。
缓解建议： 升级到已修复版本（例如 FortiOS 7.4.9 或更高版本），并通过 CLI 禁用 FortiCloud SSO：
```
config system global
set admin-forticloud-sso-login disable
end
```

功能特性

目标模式： 单一目标、逗号分隔列表或基于文件的输入。
多线程： 批量扫描的并行处理（默认：10 个线程）。
代理支持： 通过代理路由流量（例如，用于 Burp Suite 拦截）。
SAML 载荷生成： 动态构造未签名的 SAML 响应以实现绕过。
漏洞检测： 通过 HTTP 状态码和响应关键字验证是否成功。
认证后操作： 可选下载系统配置文件。
重放与劫持： 模拟 SAML 令牌重放和 SSO 会话劫持（使用提供的令牌）。
日志与输出： 详细的控制台日志，易受攻击的目标保存到 TXT，报告输出到 CSV。
命令行界面： 灵活的参数，支持非交互式使用。

环境要求

Python 版本： 3.8 或更高版本。
依赖项： 通过 pip 安装：
```
pip install requests argparse
```
（脚本的大部分功能使用标准库；除此之外无需额外安装。）
环境： 已在 Linux、macOS 和 Windows 上测试。确保能够访问目标的网络。
权限： 以足够的权限运行以进行文件 I/O（例如，写入日志和配置）。

安装

克隆或下载脚本（例如 exploit.py）。
安装依赖项：
```
pip install -r requirements.txt
```
（如有需要，创建包含 requests 和 argparse 的 requirements.txt。）
确保脚本可执行（在类 Unix 系统上）：
```
chmod +x exploit.py
```

使用方法

使用 Python 运行脚本：

python exploit.py [options]

命令行参数

--target <IP/hostname>：要扫描的单一目标（例如 192.168.1.1 或 example.com）。
--targets <comma-separated list>：多个目标（例如 192.168.1.1,example.com）。
--file <path>：包含目标列表的文件，每行一个目标。
--username <name>：要在 SAML 载荷中冒充的用户名（默认：admin）。
--endpoint <path>：SAML 登录端点（默认：/remote/saml/login）。
--max-threads <int>：最大并发线程数（默认：10；建议最大：50）。
--saml-token <token>：用于重放/劫持的 Base64 编码 SAML 令牌（可选）。
--proxy <url>：代理 URL（例如）。

注意： 如果未提供任何目标选项，脚本将报错退出。

示例

单一目标扫描：
```
python exploit.py --target 192.168.1.1 --username admin --proxy http://127.0.0.1:8080
```
通过本地代理扫描单个设备，冒充 admin 用户。
列表批量扫描：
```
python exploit.py --targets 192.168.1.1,example.com --max-threads 20 --post-auth-config
```
并行扫描多个目标，成功时启用配置下载。
基于文件的扫描与令牌重放：
```
python exploit.py --file targets.txt --saml-token <base64_token> --endpoint /custom/saml
```
处理 targets.txt 中的目标，尝试令牌重放/劫持。

非交互式完整扫描：

python exploit.py --file targets.txt --username superadmin --max-threads 15 --post-auth-config --output-file results.csv

自定义用户名、高线程数、配置下载、自定义输出。

工作原理

输入解析： 通过 CLI 参数收集目标和选项。
SAML 载荷： 生成带有动态时间戳和目标特定字段的伪造未签名 SAML 响应。
漏洞利用尝试： 向 SAML 端点发送 POST 请求；检查是否成功（200/302 + 类似 "dashboard" 的关键字）。
利用后阶段：
- 记录 Cookie 和 URL。
- 可选地通过 /api/v2/monitor/system/config/backup 下载配置。
- 如果提供了令牌，则模拟重放/劫持（使用新会话）。
输出： 将易受攻击目标的详细信息输出到 TXT，攻击指标输出到 CSV（例如，目标、攻击类型、结果、状态）。
错误处理： 对网络问题、文件 I/O、无效输入进行稳健的异常捕获；记录错误而不会崩溃。

输出格式

控制台日志： 实时进度、成功、警告和错误信息。
vulnerable_targets.txt： 易受攻击设备列表，包含 Cookie 和 URL。
attack_report.csv： 结构化报告，包含以下列：Target、Username、Attack Type（例如 Config Download、SAML Token Replay）、Result（Success/Failed）、Status Code。

示例 CSV 行：

Target,Username,Attack Type,Result,Status Code
https://192.168.1.1,admin,Config Download,Success,200

局限性

误报/漏报： 假设已启用 FortiCloud SSO；如果已禁用或系统已修补，则可能失败。
网络依赖： 需要直接或通过代理访问目标；15 秒后超时。
令牌功能： 重放/劫持均为模拟；实际的会话窃取需要自定义逻辑。
线程安全： 使用锁进行文件写入；高线程数可能会占用大量资源。
无持久性： 不维持单次运行之外的会话。

故障排除

连接错误： 检查网络/防火墙；使用 --proxy 进行调试。
无效目标： 确保 IP/主机名可解析；无需协议前缀。
依赖问题： 确认已安装 requests 和 argparse。
大规模扫描： 如果遇到资源限制，请减少 --max-threads。

贡献

这是一个 PoC；欢迎通过拉取请求贡献改进（例如更好的检测、附加功能）。请以安全和道德为重。

参考链接

Fortinet 公告：FG-IR-25-647
CVE 详情：CVE-2025-59718
相关：在攻击中常与 CVE-2025-59719 一起使用。

最后更新：2025 年 12 月 22 日

CVE-2025-59718-PoC

最受欢迎