CitrixBleed2 - CVE-2025-5777 PoC 扫描器

本仓库包含针对 CVE-2025-5777 的高级概念验证（PoC）扫描器，该漏洞被称为 CitrixBleed2，是影响 Citrix NetScaler ADC 和 Gateway 的内存泄露漏洞。

我对原始 PoC 做了一些修改，本脚本基于 WatchTowr Labs 最初发布的研究，并增强了更深层次的信息提取和安全的内存泄露分析能力。

免责声明：本工具仅用于教育和授权测试目的。在未拥有或未经明确授权测试的系统上使用本工具属于违法行为。

关于该漏洞 - CVE-2025-5777

CVE-2025-5777 是 Citrix NetScaler ADC 和 Gateway 在配置为网关（VPN 虚拟服务器、ICA 代理、CVPN、RDP 代理）时存在的一个内存泄露漏洞。

通过向认证端点发送特制的 HTTP POST 请求，未经身份验证的攻击者可以触发内存泄露——从堆内存中泄露敏感数据。

此问题是原始“CitrixBleed”（CVE-2023-4966）的后续漏洞，于 2025 年 7 月披露。

技术摘要：

• 漏洞端点： /p/u/doAuthentication.do
• 攻击向量： 网络（未认证）
• 影响： 内存内容泄露
• CVSS 评分： 7.5（高危）
• 披露来源： WatchTowr Labs
• DoublePulsar： DoubblePulsar

最初的发现和深度分析由 WatchTowr Labs 研究团队完成。本 PoC 受他们发布的成果启发，并由我增强了扩展检测、证据记录和内存分析功能。

功能特性

• 利用 CVE-2025-5777（CitrixBleed2）内存泄露漏洞

• 通过构造的 POST /p/u/doAuthentication.do 请求收集泄露的内存内容

• 提取敏感数据，例如：

  • 会话 Cookie
  • Token
  • Basic Auth 头
  • 密码和 JWT

• 显示并记录 TLS 证书元数据（主题、颁发者、有效期）

• 自动对特定组织的已知品牌信息进行脱敏（例如，移除特定厂商提及）

• 使用带时间戳的输出文件保存泄露数据，防止覆盖

使用方法

单个目标

python3 cve-2025-5777.py -t <target> -r 5 -T 5 -v

目标列表

python3 cve-2025-5777.py -l targets.txt -r 3 -T 10

自定义输出文件

python3 cve-2025-5777.py -t <target> -o custom_output.txt

如果未指定 -o，则会自动创建带时间戳的文件（例如 citrix_leaks_20250705_154312.txt）。

检测技术

该工具向以下地址发送格式错误的认证请求：

POST /p/u/doAuthentication.do HTTP/1.0

使用短载荷和特定的 User-Agent 来触发内存泄露。

它会解析原始响应，查找高熵数据、证书元数据和敏感内容（通过正则表达式）。

法律声明

• 本工具只能在授权的渗透测试或受控环境中使用。
• 所有用户须自行承担确保合法和合乎道德使用的责任。

致谢

• 原始发现与报告： WatchTowr Labs
• 增强版 PoC 作者： Guilherme Nocera (@guilhermenocera1)
• 基于开源研究，为巴西及全球安全专业人员精心打造。

相关链接

• CVE 详情 - CVE-2025-5777
• Citrix 安全公告
• WatchTowr Labs 文章

许可证

本仓库以 MIT 许可证发布。

保持安全，负责任地测试。