这是用于 CVE-2018-14772 的概念验证远程代码执行漏洞利用程序,该漏洞是我在 pydio 文件共享平台中发现的。它需要拥有 pydio 应用程序管理员凭证才能运行。你可以这样运行该利用程序:
$ python exploit.py -h
usage: exploit.py [-h] -t TARGET -u USERNAME -p PASSWORD -L LISTENER_IP -P
LISTENER_PORT [--payload PAYLOAD]
[*] exploit some pydio boxes (academically)
optional arguments:
-h, --help show this help message and exit
--payload PAYLOAD one of the pre-built reverse-shell payloads (1, 2, 3, 4,
or 5), or a custom command. keep in mind you can't use
the (") character as it breaks the injection
required arguments:
-t TARGET this is the target URI for the pydio instance..i.e.
http://127.0.0.1:31337/pydio/
-u USERNAME this is the username of the admin user
-p PASSWORD this is the password of the admin user
-L LISTENER_IP IP address to catch reverse shell on
-P LISTENER_PORT port to catch reverse shell on
我内置了几个你可以尝试的反向 Shell 有效载荷。此外,你还可以使用临时的自定义 Shell 命令。请记住,使用 " 字符会破坏命令注入,因此你必须避开该限制。

在我的博客 这里 可以找到