Magento 2 RCE 漏洞利用 - 未认证文件上传到 RCE

⚠️ 此工具仅用于教育和授权安全测试。未经授权对非您拥有的系统使用本工具属违法行为。

该漏洞利用针对 Magento 2（Adobe Commerce）中的一个严重未认证远程代码执行（RCE）漏洞。通过将 GraphQL 产品查询、访客购物车创建以及通过自定义产品选项上传恶意文件进行链式利用，攻击者可以上传 PHP webshell 并在目标服务器上执行任意代码。

该漏洞允许远程攻击者将一个 PHP 文件写入服务器文件系统，然后访问该文件以执行系统命令、读取/写入文件，并完全入侵 Magento 安装。

功能特性

• 多线程扫描与利用（最多 10 个并发线程）
• 通过 GraphQL 自动检测产品 SKU
• 创建访客购物车并将 PHP webshell 作为自定义选项文件上传
• 通过检查唯一标记（Shinday）验证 webshell 是否部署成功
• 将成功的 shell URL 保存到 up.txt
• 通过基于队列的工作负载分配处理大型目标列表

工作原理

1. GraphQL 产品查询 – 从 /graphql 获取一个有效的产品 SKU。
2. 创建访客购物车 – 调用 /rest/default/V1/guest-carts 获取购物车 ID。
3. 恶意文件上传 – 向 /rest/default/V1/guest-carts/{cart_id}/items 发送 POST 请求，将 base64 编码的 PHP webshell 作为自定义选项文件上传。
4. Shell 部署 – 服务器将文件存储到 /pub/media/custom_options/quote/... 或 /media/custom_options/quote/... 下。
5. 验证 – 脚本尝试获取上传的 PHP 文件，并检查响应中是否包含字符串 Shinday。
6. 输出 – 成功的 shell URL 会被追加到 up.txt。

环境要求

• Python 2.7（脚本使用 Queue、unicode 以及其他 Python 2 专用模块）
• requests、urllib3 库

安装依赖：

pip install requests urllib3

使用方法

python exploit.py <list.txt>

• <list.txt> – 包含目标基础 URL 的文件（每行一个），可带或不带 http:///https://。
  示例：
  root@kitploit:~

  https://example.com
  http://shop.test
  magento2.target.net
  

输出

• 控制台日志显示进度、SKU、购物车 ID、上传状态以及成功时的最终 shell URL。
• 成功的 shell URL 会保存到当前目录下的 up.txt 中。

运行示例

python exploit.py targets.txt
[*] Total targets: 5
[*] Start time: 2025-03-15 12:00:00
[*] Starting 5 threads...

[Thread 1] Processing: https://example.com
[+] SKU  : 24-WG080
[+] CART : 8f7c3e9a-1b2f-4d5e-9a8b-7c6d5e4f3a2b
[+] Upload Status : 200
[+] Webshell terpasang: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php
[✓] Saved to up.txt: https://example.com/pub/media/custom_options/quote/a1/b2/shell_xyz.php

Webshell 详情

上传的 PHP 文件是一个简单的文件管理器（命名为类似 xxxxx_shin.php），它会以一个基于 Web 的文件浏览器作为响应。其中包含唯一标记 Shinday，脚本使用该标记来验证上传是否成功。

测试完成后请勿在系统上遗留此 shell —— 请立即清理。

缓解措施

• 立即应用 Adobe/Magento 安全补丁。
• 如果不需要，请禁用未使用的 GraphQL 端点。
• 仅允许通过认证的用户上传文件。
• 使用 Web 应用防火墙（WAF）阻止恶意 POST 模式。
• 定期审计 /media/custom_options/ 目录以发现异常的 PHP 文件。

免责声明

本软件仅供教育和授权渗透测试使用。作者不对因使用本工具而导致的任何滥用或损害负责。在针对任何目标运行此漏洞利用之前，您必须获得系统所有者的明确书面许可。在大多数司法管辖区，未经授权访问计算机系统属于犯罪行为。

更多免责声明，您可以查看 Jenderal92 主页上的声明。您可以点击 此处 !!! 查看。